【🚨⚠️警告】IAM Roles Anywhere 運用中のエンジニアは即チェック！CreateSession API の「セキュリティの穴」がついに封鎖。設定不備で認証情報が取れなくなるリスクあり！

AWS IAM Roles Anywhere において、VPC エンドポイントポリシーが CreateSession API に対して適用されるようになりました。これまでは CreateSession API は VPC エンドポイントポリシーの適用対象外であり、ネットワークレベルでの一貫した制御ができませんでしたが、今回のアップデートにより、すべての API 操作に対して一貫した、きめ細やかなアクセス制御が可能になります。VPC エンドポイントポリシーの Allow ステートメントに rolesanywhere:CreateSession が明示的に許可されていない場合、一時的な AWS 認証情報は取得できなくなります。

🛠️ ついに「セキュリティの穴」が塞がった！エンジニアが知っておくべき変更点

今回のアップデートは、一見地味に見えますが、オンプレミスやエッジデバイスから AWS へ接続する環境を構築しているチームにとっては極めて重要な変更です。これまでは、VPC エンドポイントで他の操作を制限していても、肝心の認証情報を取得する CreateSession API だけはポリシーの影響を受けずに実行できてしまうという「不整合」がありました。これが今回のアップデートで解消され、真のゼロトラストなネットワーク制御が可能になります。

🌏 日本国内のリージョン状況（東京・大阪ともに利用可能！）

リサーチの結果、東京リージョン (ap-northeast-1) および 大阪リージョン (ap-northeast-3) の両方で IAM Roles Anywhere が利用可能であることが確認されています。日本のインフラを支えるエンジニアの皆さん、大阪リージョンでの運用も安心して進められますよ！

💡 実務への影響と回避策：放置すると「認証エラー」で死ぬ！

もし現在、VPC エンドポイントポリシーで権限を絞っている場合、設定を更新しないと、突然ワークロードが停止するリスクがあります。以下の点に注意してください：

• 既存ポリシーのレビュー: rolesanywhere:CreateSession が許可リストに入っているか、今すぐ確認してください。rolesanywhere:* で許可しているなら現状は問題ありませんが、最小権限の原則を適用したい場合は、個別に許可する必要があります。
• セキュリティ強化のチャンス: 単に全許可するのではなく、特定の信頼アンカー (Trust Anchor) や証明書属性に絞った制限をポリシーに盛り込むことで、より強固なガードレールを敷くことができます。

✅ 次のアクション：まず何をすべきか？

1. 非本番環境での検証: 既存の VPC エンドポイントポリシーが適用された状態で、CreateSession が正しく動作するか、あるいは意図的に拒否されるかテストしてください。
2. 監視の強化: CloudTrail で CreateSession の呼び出しパターンを監視し、異常なリクエストを検知できる体制を整えましょう。

📚 Reference: IAM Roles Anywhere User Guide - VPC Interface Endpoints