AWS HealthOmics が IAM セッションポリシーをサポート、実行ごとの動的な権限制限が可能に

AWS HealthOmics において IAM セッションポリシーのサポートが開始されました。これにより、個別の実行（run）に対して、既存のサービスロールを変更することなく、動的に権限を絞り込むことが可能になります。マルチテナント環境において、実行ごとに個別の IAM ロールを作成・管理する運用負荷を軽減し、特定の S3 バケットやオブジェクトへのアクセスを最小限に制限できます。

💡 エンジニア視点の解説

🛠 解決される課題

これまで AWS HealthOmics でマルチテナント構成や高度なセキュリティ要件を満たそうとすると、**「実行（run）ごとに個別の IAM ロールを作成・管理する」という、運用上かなり重いコストが発生していました。今回のアップデートにより、ベースとなるロールは共通のまま、実行時に「この実行はこの S3 バケットしか触らせない」といった動的な権限の絞り込み（Scope down）**ができるようになります。

🇯🇵 日本国内の利用状況について

最新の調査結果に基づくと、本機能は AWS HealthOmics が利用可能なリージョンで提供されます。

• 東京リージョン (ap-northeast-1): サポート対象に含まれています。
• 大阪リージョン (ap-northeast-3): 現時点の公式発表およびドキュメントでは、HealthOmics 自体の提供、および本機能の提供に関する明示的な記載はありません。利用の際は、最新のリージョン一覧を直接確認するか、AWS サポートへの問い合わせを推奨します。

🚀 実務へのアドバイス

• セキュリティ: 権限は「アイデンティティベースのポリシー」と「セッションポリシー」の**積集合（Intersection）**として評価されます。セッションポリシーで権限を絞っても、元のロールに権限がなければ動作しません。設計時は両方のポリシーの関係性に注意してください。
• 運用負荷の軽減: テナントごとに IAM ロールを大量に作成する運用から、共通ロール ＋ セッションポリシーによる動的な制御へ移行することで、IAM 管理の複雑さを大幅に下げられます。

✅ 次のアクション

まずは、現在運用しているワークフローにおいて、セッションポリシーを適用した際の権限評価が意図通り（最小権限の原則に則っているか）を検証環境でテストすることをお勧めします。

参照ドキュメント:

• AWS HealthOmics User Guide - Permissions
• AWS HealthOmics 公式ページ