AWS IAM、アカウントアクセスマネージャーでIAMロール割り当てを効率化

AWS Identity and Access Management (IAM) は、アカウントアクセスマネージャー機能を発表しました。この機能により、AWS IAM Identity Center で管理されるワークフォースユーザーやグループに対して、AWSアカウント内のIAMロールを簡単に割り当てることが可能になります。

従来のアクセス管理方法は2つの選択肢がありました：

1. 各AWSアカウントにユーザーを個別にフェデレーションし、IAMロールで権限を細かく管理する方法。
2. IAM Identity Centerを通じて一度だけフェデレーションし、AWS管理のパーミッションセットで一元管理する方法。

新機能のアカウントアクセスマネージャーは、IAM Identity Centerの一元フェデレーションとユーザー認識の利点を維持しつつ、IAMロールの柔軟性を提供します。

この機能は追加料金なしで提供され、すべてのAWS商用リージョンでデフォルトで有効です。AWS IAMコンソール、AWS SDK、CloudFormation/CDKから利用可能です。

エンジニア視点での考察・アドバイス

解決された課題

• 権限管理の二極化問題：従来は「IAMロールの柔軟性」と「IAM Identity Centerの一元管理」のどちらかを選ぶ必要がありましたが、この機能で両方のメリットを享受できます。
• 運用負荷の軽減：複数アカウントにまたがるユーザー管理が簡素化され、特に大規模な組織でのアクセス制御が効率化されます。

日本リージョンでの利用状況（東京・大阪）

• 東京 (ap-northeast-1) と大阪 (ap-northeast-3) では、デフォルトで利用可能です。AWS公式の裏取りにより、追加の有効化手順は不要であることが確認されています。
• 注意点：AWSドキュメントにリージョン制限の記載はありませんが、新機能の場合はリリース直後から全リージョンで利用できるとは限りません。利用前にIAMコンソールで機能の有無を確認することを推奨します。

実務での影響とアドバイス

• コスト：追加料金は発生しませんが、IAM Identity Centerの利用が前提となるため、既存のフェデレーション構成を確認してください。
• セキュリティ：IAMロールの割り当てが簡素化される一方で、過剰な権限付与を防ぐために最小権限の原則を徹底しましょう。
• 移行のヒント：
  • 既存のIAM Identity Centerユーザーは、この機能を使ってIAMロールを直接割り当てることで、パーミッションセットの管理負荷を軽減できます。
  • CloudFormation/CDKを活用することで、インフラコードとして権限管理を自動化できます。

次のアクション

1. IAMコンソールで「アカウントアクセスマネージャー」の項目を確認し、利用可能かどうかをチェック。
2. テスト環境でIAMロールの割り当てを試し、動作を検証。
3. 既存のアクセス管理構成との互換性を確認し、必要に応じて移行計画を立てる。

参考ドキュメント

• AWS IAM User Guide - Account Access Manager