AWS IAM Identity Center がリージョンを跨ぐ「信頼された ID 伝播」をサポート

AWS IAM Identity Center は、ユーザーの ID コンテキスト（ユーザー識別情報およびグループ関連付け）を、リクエストに伴って異なる AWS リージョンにある AWS サービスへ自動的に引き継ぐ「信頼された ID 伝播 (Trusted Identity Propagation)」のクロスリージョン対応を開始しました。これにより、マルチリージョン構成において、個々のユーザーに基づいたきめ細かなアクセス制御と、詳細な監査ログの保持が可能になります。本機能は、IAM Identity Center が利用可能なすべての AWS リージョンにおいて追加料金なしで提供されます。

🛠️ 技術的な課題と解決策

これまで、マルチリージョンでワークロードを展開している場合、「信頼された ID 伝播」を利用するには、すべてのサービスが同一リージョン内に存在する必要がありました。そのため、別のリージョンにあるサービスへアクセスする際は、**「個々のユーザーを識別できない広範な IAM ロール」を使用するか、「すべてのサービスを単一リージョンに集約する」**という、セキュリティと可用性のトレードオフを迫られていました。

今回のアップデートにより、ID コンテキストがリージョンを越えて自動的に伝播されるため、**「マルチリージョン構成における最小権限の原則」と「詳細な監査ログ」**の両立が実現します。分散配置されたデータやコンピューティングリソースに対して、ユーザー単位でのきめ細かな認可が可能になります。

🇯🇵 日本国内リージョンの状況

リサーチ結果に基づくと、東京リージョン (ap-northeast-1) および 大阪リージョン (ap-northeast-3) の両方で、IAM Identity Center が提供されているため、本機能も利用可能です。追加料金なしで利用できる点は非常に強力です。

💡 実務上のアドバイス

• セキュリティ設計: 既存のマルチリージョン構成において、広範な IAM ロールで代用していた箇所があれば、この機能を使って「ユーザー単位の認可可否」を判定する設計へ移行することを検討してください。
• コスト: 追加料金は発生しませんが、IAM Identity Center の設定およびポリシー管理の複雑性が増す可能性があるため、構成管理の標準化が推奨されます。
• 監査: CloudTrail 等で、リクエストを跨いで誰がアクセスしたのかを正確に特定できるようになったため、監査要件の要件定義を見直す機会となります。

🚀 次のアクション

まずは、現在運用中のマルチリージョン環境において、どのサービスが「信頼された ID 伝播」のサポート対象となっているか、IAM Identity Center ユーザーガイドを確認し、PoC を実施することをお勧めします。

参照資料: Trusted identity propagation - IAM Identity Center User Guide