AssumeRoleとセッションの有効期間

AssumeRoleオペレーションを使用すると、プリンシパルは自身のアイデンティティを一時的にロールの権限と交換できます。その結果、時間制限付きのセッションが作成されます。セッションの存続時間と権限の範囲をどのように制御するかは、セッションの存続時間がセキュリティ上のリスクに直接影響するため、SCS-C02で頻出するテーマです。

AssumeRoleが成功すると、呼び出し元はarn:aws:sts::ACCOUNT:assumed-role/RoleName/SessionNameのようなARNで識別されるassumed-roleセッションとして動作します。その間、呼び出し元が持つのはロールの権限であり、元の権限ではありません。指定したセッション名は監査のために保持されます。

DurationSecondsパラメータは、セッションの存続時間を設定します。最短は900秒（15分）で、最長はロールで定義された上限までです。セッションを短くすると、漏洩した認証情報が有効であり続ける時間を短縮できるため、最小権限の考え方では、実用上可能な最短の期間が推奨されます。

各ロールにはMaximumSessionDuration設定があり、1時間から12時間の範囲で指定します。この値を超えるDurationSecondsのリクエストは拒否されます。機密性の高いロールに適切な最大値を設定すると、1回のAssumeRoleでセッションが継続できる時間に上限を設けられます。これは、高リスクのロールに合わせて調整できる制御策です。

あるAssumeRoleセッションが別のロールを引き受けることをロールチェーンと呼びます。AWSでは、ロールに設定された最大値にかかわらず、チェーンされたセッションを最長1時間に制限しています。この上限を理解すると、ロールがチェーンされている場合に長時間のリクエストが失敗する理由を説明できます。試験では見落としやすい細かなポイントです。

セッションには有効期限があるため、アプリケーションは処理を継続するためにロールを再度引き受ける必要があります。SDKは、インスタンスプロファイルや設定済みのロールプロファイルについて、古い認証情報の期限が切れる前に新しい認証情報を取得する処理を透過的に行います。既存のセッションを延長する方法はありません。新しいセッションを取得してください。

存続時間以外にも、AssumeRoleではPolicyまたはPolicyArns（権限を絞り込むセッションポリシー）、Tags（ABAC用のセッションタグ）、およびMFA用のSerialNumberとTokenCodeを指定できます。これらを使うと、AssumeRoleを実行する時点で、各セッションの範囲と保護を正確に設定できます。

ロールの信頼ポリシーではMFAを必須にできます。その場合、AssumeRoleにはMFAデバイスのARNと現在のトークンコードを含める必要があります。これにより、盗まれた認証情報だけでは権限の高いロールを引き受けられなくなります。短いセッションとMFAを組み合わせることは、機密性の高いロールに対する、試験でも推奨される強力な制御策です。

個別の一時認証情報を削除することはできませんが、選択した時刻より前に発行されたトークンによるアクションを拒否するインラインポリシーをアタッチすることで、ロールのすべてのアクティブなセッションを取り消すことができます。このときaws:TokenIssueTime条件を使用します。コンソールの「アクティブなセッションを取り消す」ボタンはまさにこの処理を実行するもので、インシデント対応における重要なツールです。

セッションの存続時間を短くすると、一時認証情報が漏洩しても、すぐに使えなくなります。取り消し、MFA、最小権限のセッションポリシーと組み合わせることで、攻撃可能な時間を大幅に短縮できます。試験では、認証情報が有効であり続ける時間を最小限にする選択肢が好まれます。

AssumeRoleは、ロールのMaximumSessionDurationの範囲内でDurationSecondsによって存続時間が決まる、時間制限付きのセッションを作成します。ロールチェーンでは上限が1時間になります。ポリシー、タグ、MFAを使って各セッションの範囲を設定し、TokenIssueTimeを使った取り消しの仕組みで、侵害されたセッションを直ちに無効化してください。短く、範囲を絞ったセッションを安全なデフォルトとします。

セッションの存続時間に関する知識を確認しましょう。

AssumeRoleは、15分からロールのMaximumSessionDuration（最大12時間）まで存続するassumed-roleセッションを作成します。ロールチェーンでは上限が1時間になります。セッションポリシー、タグ、MFAを使ってセッションの範囲を設定してください。aws:TokenIssueTimeを使った拒否の仕組みで、侵害されたセッションを取り消します。短く、範囲を絞ったセッションを優先してください。