IAM 上級② AssumeRole と信頼ポリシー
Pro会員限定上級約38分6レッスン
sts get-caller-identity で「今、誰として操作しているか」を確かめ、AssumeRole の AccessDenied を信頼ポリシーから読み解きます。削除済みのユーザーを指したままの信頼ポリシーを直し、--profile でロールを使い、漏れた疑いのあるセッションを aws:TokenIssueTime で取り消します。
対象者: ロールの引き受け（AssumeRole）を設計・トラブルシュートしたい方
前提知識: IAM 上級① 評価ロジックと Permissions Boundary 修了程度
この教材を終えると、できるようになること
- get-caller-identity の Arn から、アカウント・ロール・セッション名を読み取れるようになる。
- AssumeRole の失敗から、呼び出し元の権限とロールの信頼ポリシーの両方を確かめられるようになる。
- update-assume-role-policy で信頼ポリシーを置き換え、必要なプリンシパルだけが引き受けられるようにできるようになる。
- ~/.aws/config の role_arn / source_profile を読み、--profile でロールのセッションを使えるようになる。
- aws:TokenIssueTime を条件にした Deny をロールに付けて、発行済みのセッションを無効にできるようになる。
修了後の姿: マルチアカウント・ネットワーク・可観測性・自動化まで含めて、AWS環境を安全に設計・運用・改善できるクラウドエンジニアへ。
Chapter 1ロールを引き受けるには、両側の許可が要る
呼び出し元の sts:AssumeRole と、ロールの信頼ポリシー。
- 今の自分を確かめる（sts get-caller-identity）どのアカウントで、どのロールとして操作しているか約6分（有料会員限定）
- AssumeRole の AccessDenied と信頼ポリシーを読む削除したユーザーは、信頼ポリシーに一意 ID として残る約8分（有料会員限定）
- 信頼ポリシーを直す（update-assume-role-policy）アカウントを信頼し、PrincipalArn で SSO のロールに絞る約8分（有料会員限定）
- --profile でロールを使う認証情報を export しない。CLI に引き受けさせる約7分（有料会員限定）
- セッションを取り消す（aws:TokenIssueTime）一時的な認証情報は、期限までは使えてしまう約7分（有料会員限定）
- 確認クイズ: AssumeRole と信頼ポリシー引き受けの条件と、セッションの扱い約2分（有料会員限定）