AWS IAM のアウトバウンド ID 連合が OIDC ディスカバリ用のインターフェース VPC エンドポイントをサポート

AWS Identity and Access Management (IAM) のアウトバウンド ID 連合が、OpenID Connect (OIDC) のディスカバリ API 用の Amazon Virtual Private Cloud (VPC) エンドポイントをサポートするようになった。これにより、AWS PrivateLink を使用して VPC 内から OIDC ディスカバリメタデータと JSON Web Key Set (JWKS) 検証キーエンドポイントにアクセスでき、トラフィックがパブリックインターネットを経由しなくなる。IAM のアウトバウンド ID 連合では、AWS ワークロードが外部サービスにアクセスする際に長期間有効なクレデンシャルを使用する必要がなく、代わりに AWS セキュリティトークンサービス (AWS STS) から短期間有効な JSON Web トークン (JWT) をリクエストする。外部サービスは、OIDC ディスカバリエンドポイントで利用可能な公開検証キーとメタデータを使用してこれらのトークンを検証する。以前は、OIDC ディスカバリエンドポイントはパブリックインターネット経由でのみリーチ可能であり、インターネットアクセスがない VPC で実行される検証ワークロードはそれらを取得できなかった。今回のリリースにより、これらのエンドポイントにリーチするためのインターフェース VPC エンドポイントを作成し、検証キーの取得トラフィックを AWS ネットワーク内に保持できる。この機能は、インターネットアクセスが制限された VPC で動作するワークロードのネットワークセキュリティ要件を満たすのに役立ちながら、依然として外部サービスが JWT を検証できるようにする。この機能は、すべての商用 AWS リージョン、AWS GovCloud (US) リージョン、および中国リージョンで利用可能。標準の AWS PrivateLink 価格以外に追加料金はかからない。詳細については、IAM ユーザーガイドを参照してください。

この更新の位置づけ

この更新は、VPC 内で実行される AWS ワークロードが外部サービスに安全にアクセスする必要がある場合に役立つ。IAM のアウトバウンド ID 連合により、長期間有効なクレデンシャルを使用せずに短期間有効なトークンをリクエストできる。