AWS CLI でスイッチロールしてみた

IAM ロールに切り替える (AWS CLI) - AWS Identity and Access Management
上記ドキュメントを参考に手順を動画化してみました。

動画

https://youtu.be/5IQvBw8xxCQ

スイッチロールとは

[AWS Black Belt Online Seminar] AWS Identity and Access Management
(AWS IAM) ~ベストプラクティスで学ぶAWSの認証・認可~ Part2

• 1 つのアカウントから複数のアカウントにアクセスする際に用いられる方法のひとつ
• IAM ユーザーから IAM ロールに切り替える
  • クロスアカウントでも同アカウントでも切り替え可能

例

• アカウント A には IAM ユーザー A でログイン
• アカウント B, C には IAM ユーザー A からスイッチロールしてアクセス

メリット

[AWS Black Belt Online Seminar] AWS Identity and Access Management
(AWS IAM) ~ベストプラクティスで学ぶAWSの認証・認可~ Part2

• アカウント管理が楽になり、情報漏洩リスクを減らせる
• 既存のユーザ情報をそのまま使用
• 既存の権限ベースでの管理が可能
• 既存と同様のポリシーの利用が可能
• 入退社など一時的な管理が可能
• 自動的に認証情報のローテーションが行われる

手順

ユーザーから IAM ロールに切り替える (コンソール) - AWS Identity and Access Management
コンソールでのスイッチロールの手順については上記ドキュメントをご参照ください。

AWS CLI でのスイッチロールの手順については冒頭の動画をご覧ください。

IAM Identity Center での SSO との違い

え、IAM ユーザーを作らなくてもマネジメントコンソールにログインできるの!? – シングルサインオン考え方編 | AWS Startup ブログ

一般に、アカウント管理を効率化する観点で考えると、IAM ユーザーを作らないことが有効なプラクティスです。

スイッチロールではスイッチ元で IAM ユーザーの作成が必要ですが、IAM Identity Center では IAM ユーザーの作成は不要です。
IAM ユーザーが必要なユースケースについては上記ブログで紹介されている通りです。

• AWS SDK を使った API へのアクセス
• マネジメントコンソールへのログイン

まとめ

今回は AWS CLI でスイッチロールする方法を紹介しました。
どなたかの参考になれば幸いです。

参考資料

• IAM ロールに切り替える (AWS CLI) - AWS Identity and Access Management
• [AWS Black Belt Online Seminar] AWS Identity and Access Management
  (AWS IAM) ~ベストプラクティスで学ぶAWSの認証・認可~ Part2
  
• ユーザーから IAM ロールに切り替える (コンソール) - AWS Identity and Access Management
• え、IAM ユーザーを作らなくてもマネジメントコンソールにログインできるの!? – シングルサインオン考え方編 | AWS Startup ブログ