AWS IAM 外部サービス向けIDフェデレーションが欧州ソブリンクラウドで利用可能に

AWS Identity and Access Management (IAM) の Outbound Identity Federation（外部サービス向けIDフェデレーション） 機能が、AWS European Sovereign Cloud（ドイツ）リージョンで利用可能になったことが公式発表されました。

この機能により、AWSワークロードは長期的な認証情報を使用せずに、外部のクラウドプロバイダー、SaaSプロバイダー、または自社運用アプリケーションに対して、短期間有効なJSON Web Token (JWT) を用いて安全に認証できるようになります。JWTにはAWSワークロードに関する豊富なコンテキストが含まれており、外部サービス側で細かなアクセス制御が可能です。また、トークンの生成権限やプロパティ（有効期限、オーディエンス、署名アルゴリズムなど）はIAMポリシーで管理でき、CloudTrailログによる監査も可能です。

AWS European Sovereign Cloudは、EU内に完全に配置された独立したクラウド環境で、進化する主権要件に対応するために設計されています。

エンジニア視点での考察・アドバイス

解決される技術的課題

• 長期認証情報の管理リスク: 外部サービスへのアクセスにAPIキーやパスワードを使用する場合、漏洩リスクやローテーションの手間が課題でした。JWTを用いることで、短期間有効なトークンのみを使用し、セキュリティリスクを低減できます。
• 複雑なワークアラウンドの排除: 従来は、外部サービスとの認証のためにカスタムスクリプトやミドルウェアを実装する必要がありましたが、AWS IAMのネイティブ機能でシンプルに実現可能になりました。

日本リージョンの提供状況（重要）

• 東京リージョン (ap-northeast-1) および大阪リージョン (ap-northeast-3): 提供確認済み AWS公式の裏取りにより、STS:GetWebIdentityToken APIが両リージョンで利用可能であることが確認されています。ただし、欧州ソブリンクラウド専用の主権要件機能は、現時点ではドイツリージョンのみでの提供となります。

実務での影響と注意点

• セキュリティポリシーの見直し: JWTの有効期限やオーディエンス、署名アルゴリズムはIAMポリシーで厳密に制御可能です。組織のセキュリティ要件に合わせて、適切なポリシーを設計しましょう。
• 監査とコンプライアンス: CloudTrailログでトークンの生成や使用状況を監査できるため、コンプライアンス要件への対応が容易になります。
• コスト: 追加のAWSリソース使用料は発生しませんが、外部サービス側でのJWT検証処理が必要になる場合があります。事前に外部サービスの対応状況を確認しましょう。

次のアクション

1. 東京/大阪リージョンでの動作確認: GetWebIdentityToken APIを使用してJWTを発行し、外部サービスとの連携テストを実施してください。
2. IAMポリシーの設計: トークン生成権限やプロパティを制御するポリシーを作成し、最小権限の原則に従って適用します。
3. 外部サービスの対応確認: 連携先のサービスがJWTをサポートしているか、またどのようなクレームを要求するかを確認しましょう。

参考資料

• AWS Outbound Identity Federation 製品ページ
• IAMユーザーガイド（外部フェデレーション）
• AWS News Blog: Outbound Identity Federationの紹介