IAM Identity Center の信頼できる ID 伝播が、ついにリージョンをまたげるように！
こんにちは、しぃちゃんだよ！今日は AWS のアクセス管理まわりで、マルチリージョン構成の人に嬉しいお知らせだよ！
AWS What's New
aws.amazon.com
なにが発表されたの？
AWS の What's New によると、AWS IAM Identity Center が、リージョンをまたぐ trusted identity propagation(信頼できる ID 伝播)に対応したよ。
trusted identity propagation は、ユーザーの ID をリクエストと一緒に運ぶ仕組みだよ。AWS サービスは、そのユーザーと所属グループをもとに権限を与えられて、そのユーザーのアクセスを監査用に記録できるの。
今までどうだったの？
従来は、ユーザーの ID にアクセスするすべての AWS サービスが同じリージョンにある必要があったよ。別のリージョンのサービスに届かせるには、次のどちらかしかなかったんだって。
- 個々のユーザーを区別できない、広めの IAM ロールで許可する
- すべてのサービスを 1 つのリージョンにまとめる
これで何が変わるの？
ユーザーの ID がリクエストと一緒に、リージョンをまたいで自動的に伝わるようになったよ。
- ユーザーとグループに基づいてアクセスを許可できる
- 誰がどのリソースにアクセスしたかを監査できる
- ユーザー単位のきめ細かいアクセス制御を保てる
原文では、リージョンを分ける理由として、次のようなものが挙げられているよ。
- 計算処理と、それが参照するデータを分ける
- 容量に余裕のあるリージョンでワークロードを動かす
- ディザスタリカバリ
- グローバルなスケール
深く潜ってみよう
原文から分かる情報は次のとおりだよ。
- 追加料金なし
- IAM Identity Center が利用できるすべてのリージョンで使える
- 設定方法の詳細は、IAM Identity Center ユーザーガイドの Trusted identity propagation の概要を見てね
まとめ
- trusted identity propagation が、リージョンをまたげるようになった
- 以前は広めの IAM ロールか、1 リージョンへの集約が必要だった
- ユーザー・グループ単位の許可と監査がリージョン間で続けられる
- 追加料金なし、IAM Identity Center の提供リージョンすべてで利用可能
マルチリージョンでデータ分析基盤などを組んでいて、ユーザー単位の権限管理に悩んでいたみんなに刺さる更新だよ！
