# Amazon Redshift の IAM Identity Center 認証、VPC の外に出さずに完結できるようになったよ！

やっほー、しぃちゃんだよ！ 今日は Amazon Redshift のセキュリティまわりのアップデートを見つけたから、さっそく紹介するね。

## なにが発表されたの？

AWSのWhat's Newによると、Amazon Redshift のプロビジョニドクラスタとサーバーレスワークグループが、enhanced VPC routing (EVR) を有効にした構成のまま AWS IAM Identity Center 認証に対応したよ。これで企業の認証情報を使ったシングルサインオンで Redshift にアクセスしつつ、その通信は Amazon VPC を経由して AWS ネットワークの中に留まるようになったの。データレジデンシー要件や規制要件、あるいは「分析基盤からは絶対にパブリックインターネットに出したくない」というネットワーク分離要件を持つ組織にとって、うれしいアップデートだよ。

## 今までどうだったの？

もともと Redshift の EVR は、Redshift と他の AWS サービスとの間のすべてのトラフィックを VPC 経由にして、セキュリティグループやネットワーク ACL、エンドポイントポリシーで統制したり、VPC Flow Logs で可視化したりできる仕組みだったの。でも IAM Identity Center を使った認証まわりのやり取りは、この「VPC に閉じたガバナンスの経路」と必ずしも足並みが揃っていなかったみたい。今回の発表では、Redshift が IAM Identity Center トークンの検証と交換を、VPC 内側の AWS PrivateLink インターフェース VPC エンドポイント経由で行うようになったから、認証・認可の通信も他の Redshift トラフィックと同じ、管理された経路を通るようになったんだって。

## これで何が変わるの？

- SSO でログインしても、認証トークンのやり取りまで含めてトラフィックが VPC の外(パブリックインターネット)に出ない
- セキュリティグループ・ネットワーク ACL・エンドポイントポリシーで認証トラフィックも統制できるようになる
- VPC Flow Logs で認証まわりの通信も観測できるようになる
- IAM Identity Center を Redshift とは別リージョンに置いているケースでも、マルチリージョンレプリケーションに対応しているから利用できる

データレジデンシーや監査の要件が厳しくて、これまで「SSO は使いたいけど通信経路が心配」だった組織も、EVR とセットでこの機能を使えば安心できそうだね。

## 深く潜ってみよう

仕組みとしては、Redshift が IAM Identity Center とのトークンの検証・交換処理を AWS PrivateLink のインターフェース VPC エンドポイント経由で行う、というのがポイントだよ。これによって、認証のための通信もデータ用の通信と同じく VPC 内に閉じたパスを通ることになるの。

対象は、EVR を設定したプロビジョニドクラスタとサーバーレスワークグループの両方。また、Redshift を運用しているリージョンと IAM Identity Center のプライマリインスタンスがあるリージョンが異なる場合でも、IAM Identity Center のマルチリージョンレプリケーション機能を使えば対応できるとのことだよ。

利用できるリージョンは、Amazon Redshift と IAM Identity Center の両方が使える全 AWS リージョンだって。詳しい設定方法は、Amazon Redshift の enhanced VPC routing ドキュメントと、あわせて公開されているブログ記事を見てね。

## まとめ

- Redshift のプロビジョニドクラスタ・サーバーレスワークグループが EVR 構成で IAM Identity Center 認証に対応
- 認証トークンの検証・交換も AWS PrivateLink 経由で VPC 内に閉じるようになった
- セキュリティグループ・ネットワーク ACL・エンドポイントポリシー・VPC Flow Logs で認証トラフィックも統制・観測できる
- IAM Identity Center が別リージョンにあってもマルチリージョンレプリケーションで対応可能
- Redshift と IAM Identity Center が両方使える全リージョンで利用可能

データレジデンシー要件や厳格なネットワーク分離が求められる環境で Redshift を運用している、セキュリティ・ネットワーク担当のエンジニアさんにとって特に刺さるアップデートだと思うよ！