【緊急/最強のガードレール】AWSコンソールへの「認証前」アクセス制限がついに実現！RCP/リソースベースポリシーで防御力爆上げ

AWSは、AWSマネジメントコンソールへのサインイン時にリソースベースポリシーおよびリソースコントロールポリシー (RCP) をサポートしました。これにより、認証プロセス（資格情報入力前および入力後）の各段階でネットワーク場所やユーザーIDに基づいたアクセス制御が可能になります。本機能は追加料金なしで、すべての商用リージョン（東京・大阪を含む）で利用可能です。

🛡️ コンソールへの「侵入口」をガチで守れるようになった！

これまでは、IAMポリシーやSCPで「操作」を制限することはできても、コンソールへの「サインインそのもの」をパブリックなネットワークから遮断するのは難しかったですよね。今回のアップデートは、まさにセキュリティエンジニア待望の機能です。

💡 何がすごいの？

• 認証前（Pre-authentication）の防御: ルートユーザーも含め、パスワードを入力する前の段階で、許可されたネットワーク（IP制限など）以外からのアクセスをサインインページ自体をブロックできます。
• 組織全体の統制（RCP）: AWS Organizationsを使用している場合、RCPを用いて組織全体のメンバーアカウントに対して一貫したネットワーク制限を強制できます。

🇯🇵 日本のエンジニアへの重要情報

• 東京 (ap-northeast-1)・大阪 (ap-northeast-3) リージョンで利用可能！
• 注意点: ポリシーの作成・変更などの書き込み操作は、必ず us-east-1 (バージニア北部) リージョン で実行する必要があります。作成されたポリシーは自動的にグローバルにレプリケートされます。

⚠️ 運用上の「絶対」アドバイス

• 【最重要】ロックアウト厳禁！: 設定ミスで自分がログインできなくなるリスクがあります。必ず**「除外されたプリンシパル (Excluded Principals)」**を定義し、緊急時のバックアップアクセスパスを確保してください。
• アクションの網羅性: ポリシーには、signin:Authenticate（認証前）、signin:AuthorizeOAuth2Access（認証後）、signin:CreateOAuth2Token（認証後）の 3つのアクションすべて を含めることが推奨されています。

🚀 次のアクション

まずは、既存のIP制限ポリシーをテスト環境のアカウントで試してみるのが定石。ただし、必ず「自分自身を許可する条件」をセットにしてから実行しましょう！

参考資料:

• AWS Sign-in ユーザーガイド: コンソールアクセス制御 https://docs.aws.amazon.com/signin/latest/userguide/console-access-control.md