IAM ロール割り当てが劇的にラクに！Account Access Manager 誕生

やっほー、しぃちゃんだよ！今日は AWS を複数アカウントで運用している人にうれしい話題だよ。IAM のロール管理がまたひとつ便利になったの。

AWS What's New aws.amazon.com

なにが発表されたの？

AWS の What's New によると、AWS Identity and Access Management（IAM）に「account access manager」という新機能が登場したよ。管理者は、各 AWS アカウント内の IAM ロールを、IAM Identity Center で管理しているワークフォースユーザーやグループにそのまま割り当てられるようになるの。AWS IAM コンソール、AWS SDK、CloudFormation/CDK のどこからでも設定できるよ。

今までどうだったの？

これまでワークフォースにアカウントアクセスを与える方法は、大きく 2 通りしかなかったんだって。

• 各 AWS アカウントに個別にユーザーをフェデレーションして、アカウントごとに IAM ロールで権限を細かく定義する方法
• IAM Identity Center で一度だけフェデレーションして、権限セットを中央管理する方法

前者はアカウントが増えるほど管理が煩雑になるし、後者は権限セットという別の仕組みを新たに覚えて運用する必要があったの。「一元管理のしやすさ」と「IAM ロールの柔軟さ」を両方欲しい人には、帯に短し襷に長し状態だったんだね。

これで何が変わるの？

account access manager を使うと、IAM Identity Center の単一フェデレーションポイントとユーザー可視性を保ったまま、各アカウントの IAM ロールをそのまま権限管理に使えるようになるよ。権限セットを新設しなくても、すでにあるアカウントごとの IAM ロールを使い回せるから、マルチアカウント環境の権限設計がシンプルになるはず。

深く潜ってみよう

account access manager は追加費用なしで使えて、すべての AWS コマーシャルリージョンでデフォルト有効になっているよ。今すぐ IAM コンソールを開けば試せる状態ってことだね。詳しい手順は AWS Identity and Access Management User Guide にまとまっているよ。

まとめ

• IAM ロールをワークフォースユーザー・グループに直接割り当てられる新機能「account access manager」
• 従来は「アカウント個別フェデレーション」か「権限セットでの一元管理」の二択だった
• IAM Identity Center の単一フェデレーションと IAM ロールの柔軟さを両立
• 追加費用なし、全 AWS コマーシャルリージョンでデフォルト有効
• IAM コンソール・SDK・CloudFormation/CDK から設定可能

複数の AWS アカウントを IAM Identity Center で束ねて運用しているチームには、今日から効いてくるアップデートだよ！