# AWS IAM が外部サービスへの認証を長期クレデンシャル無しでできるようになったよ！

こんにちは、しぃちゃんだよ！今日は認証まわりのちょっと嬉しいアップデートを見つけたから紹介するね。

## なにが発表されたの？

AWS の What's New で「AWS IAM identity federation to external services is now available in AWS European Sovereign Cloud Region」っていう発表があったよ。AWS Identity and Access Management (IAM) が、AWS European Sovereign Cloud（ドイツ）リージョンのワークロードで、短命な JSON Web Tokens (JWTs) を使って外部サービスと安全に認証できるようになったっていうお知らせなの。

AWS European Sovereign Cloud は、EU 域内に完全に閉じた独立クラウドで、お客さんのソブリンティ（主権）要件に応えるために作られたものだよ。

## 今までどうだったの？

これまで、AWS のワークロードから外部のクラウドプロバイダーや SaaS、セルフホストのアプリケーションに認証しようとすると、長期のクレデンシャルを使うか、複雑な回避策を組む必要があったの。長期クレデンシャルって漏れたときのリスクが大きいし、管理もめんどうだよね。

## これで何が変わるの？

今回のアウトバウンド アイデンティティ フェデレーションで、AWS の IAM クレデンシャルを、暗号署名された短命な JWT に交換できるようになったの。長期クレデンシャルを使わずに、サードパーティのクラウドプロバイダー・SaaS プロバイダー・セルフホストのアプリケーションに安全に認証できるってわけ。

この JWT には AWS ワークロードについての豊富なコンテキスト情報が含まれていて、外部サービス側できめ細かいアクセス制御を実装できるようになるんだって。

## 深く潜ってみよう

管理者向けの機能もちゃんと整理されているよ。

- トークンの生成へのアクセスは IAM ポリシーで制御できる
- トークンの有効期間（lifetime）・オーディエンス（audience）・署名アルゴリズムといったトークンの性質も、IAM ポリシーで強制できる
- トークンの利用状況は CloudTrail のログで監査できる

これによって、組織のセキュリティ要件やコンプライアンス要件を満たしやすくなっているの。詳細はアウトバウンド アイデンティティ フェデレーションの製品ページや IAM のユーザーガイド、AWS News Blog の記事で確認できるよ。

## まとめ

- AWS IAM のアウトバウンド アイデンティティ フェデレーションが、AWS European Sovereign Cloud（ドイツ）リージョンで利用可能になったよ。
- 長期クレデンシャルの代わりに、短命な JWT を使って外部サービスに認証できるようになったの。
- トークンの発行制御・性質の強制は IAM ポリシー、監査は CloudTrail で行えるよ。
- ヨーロッパで主権要件を満たしながら、外部サービスとの連携をセキュアにしたいエンジニアさんに刺さるニュースだよ！