Amazon EKS が1クラスターあたり最大10の外部OIDC IDプロバイダーをサポート

Amazon Elastic Kubernetes Service (Amazon EKS) が、1つのクラスターに対して最大10個の外部OpenID Connect (OIDC) IDプロバイダーを関連付けられる機能の提供を開始しました。

この機能により、従業員、契約社員、CI/CDシステムなど、異なるユーザー集団ごとに独立したIDプロバイダーを直接クラスターに関連付けることが可能となり、単一のプロバイダーへの統合や中間IDブローカーの構築が不要になります。各プロバイダーは独立して構成・管理され、既存のIAM認証とも並行して機能します。

設定はAWSマネジメントコンソール、AWS CLI、またはAssociateIdentityProviderConfig APIを使用して行え、追加料金なしで利用可能です。対応リージョンはAmazon EKSが提供されているすべてのAWSリージョンです。

エンジニア視点での考察・アドバイス

解決された技術的課題

• 多様なIDプロバイダーの運用負荷軽減: これまで複数のIDプロバイダーを利用する場合、単一のプロバイダーに統合するか、中間IDブローカーを構築する必要がありました。この機能により、各プロバイダーを直接クラスターに関連付けられるため、運用の複雑さが大幅に軽減されます。
• IAM認証との共存: 既存のIAM認証を維持しながら、新たにOIDCプロバイダーを追加できるため、移行時のダウンタイムや認証の切り替えリスクを最小限に抑えられます。

日本のIT現場への影響（リージョン提供状況）

• 東京リージョン (ap-northeast-1): 提供済み
• 大阪リージョン (ap-northeast-3): 提供済み

AWS公式発表では「Amazon EKSが利用可能なすべてのAWSリージョンで提供」と明記されており、東京・大阪リージョンでも本機能を利用可能です。

運用上の注意点と実践的アドバイス

• バージョン制限: Kubernetesバージョン1.32以降のクラスターでのみ、最大10個のOIDCプロバイダーを関連付けられます。1.32未満のクラスターでは従来通り1つのプロバイダーのみのサポートとなるため、アップグレードを検討してください。
• 設定サイズの制限: すべてのOIDCプロバイダー設定の合計サイズは12 KB未満である必要があります。大規模な設定を複数追加する場合は、サイズ超過に注意してください。
• セキュリティの考慮: 各プロバイダーは独立して管理されるため、プロバイダーごとに適切なRBACポリシーを設定し、最小権限の原則に従ってアクセス制御を行ってください。
• コスト: 追加料金は発生しませんが、プロバイダーの追加に伴う運用コスト（監視、ログ管理など）を考慮してください。

次のアクション

1. クラスターバージョンの確認: 現在のEKSクラスターのKubernetesバージョンを確認し、1.32未満の場合はアップグレードを計画してください。
2. プロバイダーの選定: 利用するOIDCプロバイダーをリストアップし、各プロバイダーの設定サイズを事前に確認してください。
3. テスト環境での検証: 本番環境への適用前に、テストクラスターで複数プロバイダーの動作を検証し、認証フローやRBACポリシーが正しく機能するか確認してください。

参考資料

• Amazon EKS User Guide: Grant users access to Kubernetes with an external OIDC provider