SAML、OIDC、Web Identity Federation

フェデレーションを使用すると、AWS の外部で定義されたアイデンティティが、IAM ユーザーを作成することなくサインインし、AWS の権限を取得できます。

外部のアイデンティティプロバイダー（IdP）がユーザーを認証し、AWS はそのアサーションを信頼して一時的な認証情報を発行します。これによりアカウントの重複を避け、既存のディレクトリを信頼できる情報源として維持できます。

SAML（Security Assertion Markup Language）2.0は、エンタープライズフェデレーションで長く使われている標準規格です。

• IAMにIdPをSAMLアイデンティティプロバイダーとして登録します。
• ユーザーのログイン後、IdPは署名付きのアサーションを送信します。
• AWSはそれをSTS経由で、一時的なロール認証情報と交換します。

Active Directory Federation Servicesや、同様の企業向けIdPで一般的に使われています。

OIDC（OpenID Connect）は、OAuth 2.0を基盤とする最新のトークンベース標準です。

ワークロードとCI/CDシステムのフェデレーションに適しています。たとえば、GitHub ActionsのパイプラインはOIDCトークンを提示し、AWSは保存済みのキーを使わずにロールを引き受けられます。プロバイダーはIAMのOIDCアイデンティティプロバイダーとして登録します。

Webアイデンティティフェデレーションを使うと、Google、Facebook、Amazonなどのパブリックプロバイダーでユーザーがサインインできます。モバイルアプリやWebアプリで一般的な方式です。

アプリはプロバイダーのトークンをAssumeRoleWithWebIdentity経由でSTSに渡し、ロールの範囲に限定された一時的な認証情報を受け取ります。ユーザーにIAMアイデンティティは必要ありません。

すべてのフェデレーション方式はSTS（Security Token Service）に集約されます。STSは、検証済みの外部アサーションを、IAMロールに紐付いた短期間有効なAWS認証情報と交換します。

• SAMLではAssumeRoleWithSAMLを使用します。
• OIDCとWebアイデンティティではAssumeRoleWithWebIdentityを使用します。

フェデレーションユーザーが実行できる操作は、ロールの権限によって決まります。

フェデレーションユーザーが引き受けるIAMロールには、IdPをプリンシパルとして指定する信頼ポリシーがあります。

信頼ポリシーの条件によって、そのプロバイダーの誰がロールを引き受けられるかを制限できます。たとえば、特定のSAML属性やOIDCのsubクレームを照合します。これにより、広範なプロバイダーが全員にアクセスを許可してしまう事態を防げます。

IAM Identity Centerは、洗練されたポータルと許可セットを備えた、ワークフォース向けのフェデレーションレイヤーです。

従来のIAM SAMLまたはOIDCプロバイダーは、より低レベルの構成要素です。そのため、アプリケーションとワークロードのフェデレーションや、レガシー環境に適しています。試験では、人間のSSOにはIdentity Center、パイプラインにはOIDCロールを選択することが求められます。

コンシューマー向けアプリでは、Amazon CognitoアイデンティティプールがWebアイデンティティフェデレーションを仲介します。

ソーシャルログインやユーザープールのログインを一時的なAWS認証情報と交換し、STSの呼び出しを内部で処理します。モバイルアプリでは、AssumeRoleWithWebIdentityを直接呼び出すよりも、この方法が推奨されます。

フェデレーションの目的は、アプリ、パイプライン、デバイスに長期的なキーを埋め込まないことです。

• 漏えいした静的キーは、侵害の主な原因の一つです。
• フェデレーショントークンは短期間だけ有効で、検証済みのアイデンティティに紐付いています。

シナリオにハードコードされたアクセスキーが登場したら、通常はフェデレーションが解決策です。

接続元に合わせて標準を選択します。

• 従来型のエンタープライズIdPやADにはSAML。
• 最新のワークロードやCI/CDにはOIDC。
• パブリックアプリのユーザーにはWebアイデンティティ / Cognito。

いずれも一時的な認証情報を提供しますが、主な違いはトークン形式と用途です。

フェデレーションセッションは、引き受けたロールのアイデンティティとフェデレーションイベントとともにCloudTrailに記録されます。

IAMユーザーが存在しない場合でも、どのIdPのどの外部ユーザーがアクションを開始したかを追跡でき、説明責任を維持できます。ロール名に一貫性を持たせると、ログがはるかに読みやすくなります。

フェデレーションの標準を比較しました。

• エンタープライズIdPにはSAML、ワークロードにはOIDC、アプリユーザーにはWebアイデンティティ/Cognitoを使用します。
• いずれも検証済みの外部アサーションをSTS経由で一時的なロール認証情報と交換します。
• フェデレーションにより、長期的なキーを埋め込む必要がなくなります。