AWS Sign-InがRCP対応、マネジメントコンソールへのアクセス制御を強化

AWS Sign-InがResource Control Policy（RCP）に対応し、マネジメントコンソールへのサインインアクセスをIPアドレスベースで制御できるようになった。これにより、マルチアカウント環境での一貫したアクセス制限が容易になる。

RCPで制御可能なアクション

RCPでは、signin:Authenticate、signin:AuthorizeOAuth2Access、signin:CreateOAuth2Tokenの3つのアクションを制御できる。認証前のサインインだけでなく、認証後のトークン発行も制御対象となるため、IP制限を実装する際は両方のアクションを考慮する必要がある。

SAMLやOIDCによるフェデレーションサインインにも適用されるが、IAM Identity Centerポータル経由のコンソールアクセスは現在非対応である。

—

設定手順

管理アカウントで、Organizationsの委任管理者を設定し、put-console-authorization-configuration APIをus-east-1リージョンで実行してコンソール認可設定を有効化する。委任管理者アカウントでRCPを作成し、対象OUにアタッチする。RCPでは、ルートユーザーを除外し、特定IPアドレスからのみアクセスを許可するポリシーを記述する。

ただし、IAM Identity Center経由のサインインでは、内部フローの一部がAWS側のIPアドレスから実行されるため、aws:SourceIp条件が意図通り機能せず、アクセスがブロックされる。公式ドキュメントでも、IAM Identity Centerポータル経由のコンソールアクセスはネットワーク条件キーと互換性がないと明記されている。

注意点

ルートユーザーや復旧用ユーザーを除外しないと、管理者がロックアウトされるリスクがある。RCPはAWS Sign-Inのみを対象とし、CLIやSDKの操作は制限対象外である。また、IAM Identity Center利用環境ではネットワーク条件による制限を適用できないため、今後のアップデートに期待する。