AWS Sign-In が OAuth 2.0 Token Exchange (RFC 8693) をサポートし、外部 OIDC トークンとの連携を強化

AWS Sign-In は、RFC 8693 に準拠した OAuth 2.0 Token Exchange をサポートしました。これにより、アプリケーションはサードパーティの OpenID Connect (OIDC) トークンを、短寿命かつ特定の AWS サービスにスコープされた OAuth アクセストークンと交換することが可能になります。AWS 認証情報を直接共有することなく、IAM によるアクセス制御を維持したまま、サポート対象の AWS サービスへ安全にアクセスできます。この機能は、AWS Sign-In OAuth を使用するサポート対象の AWS サービス（例：AWS Glue）で利用可能です。

🛠️ エンジニア視点での考察

💡 解決される課題とメリット

サードパーティ製アプリケーションや外部クエリエンジン（Apache Spark, Trino, Apache Flink など）を AWS サービスと統合する際、これまでは AWS アクセスキーやシークレットキーを直接配布・管理する必要があり、認証情報の漏洩リスクや管理コストが課題でした。今回の OAuth 2.0 Token Exchange のサポートにより、「既存の外部 ID プロバイダー (IdP) のトークンを AWS トークンに交換する」 という標準的なフローにより、最小権限の原則に基づいたセキュアなアクセスが実現できます。

🌏 日本国内のリージョン状況

リサーチの結果、本機能自体のリージョン限定に関する記載はありませんが、対象となる AWS Glue は 東京リージョン (ap-northeast-1) および大阪リージョン (ap-northeast-3) で利用可能 です。したがって、本機能の活用は国内の主要リージョンで問題なく行える見込みです。

🚀 実務上のアドバイス

• セキュリティ向上: AWS 認証情報をアプリケーション側に持たせず、短寿命のトークンを使用することで、攻撃対象領域を大幅に削減できます。
• 運用負荷の軽減: 従来の複雑な IAM フェデレーション設定を簡略化し、RFC 8693 という標準規格に基づいた実装が可能です。

🔍 次のアクション

まずは、利用予定の外部 IdP と AWS サービス（特に AWS Glue Data Catalog へのアクセスなど）の組み合わせが、サポート対象の AWS サービスに含まれているか、AWS 公式ドキュメントで確認することをお勧めします。

📚 参考資料

• AWS Sign-In User Guide
• AWS MCP Server User Guide
• AWS Glue launch announcement