での証明書ベースのアクセスコントロールのアーキテクチャ AWS

を使用して AWS Identity and Access Management Roles Anywhere 、 の外部で実行されるサーバー、コンテナ、アプリケーションなどのワークロードの一時的なセキュリティ認証情報を AWS Identity and Access Management (IAM) で取得できます AWS。ワークロードは、 AWS リソースへのアクセスに使用するのと同じ IAM ポリシーと IAM ロールを使用できます。 IAM Roles Anywhere を使用すると、 の外部で動作するワークロードの長期的な認証情報を管理する必要がなくなります AWS クラウド。

ワークロードを使用するには IAM Roles Anywhere、認証機関 (CA) によって発行された X.509 証明書を使用する必要があります。CA を信頼アンカー IAM Roles Anywhere として に登録し、パブリックキーインフラストラクチャと の間の信頼を確立します IAM Roles Anywhere。このガイドでは、 AWS Private Certificate Authority (AWS Private CA) を CA として使用し、 との信頼を確立します IAM Roles Anywhere。のコンテキストでは IAM Roles Anywhere、 AWS Private CA は、きめ細かなポリシーを通じて AWS リソースへのアクセスを制御するために使用できる特定の属性を持つ証明書を発行するための信頼できるソースとして機能します。

このガイドでは、ターゲット AWS アカウント および の AWS リソースへの証明書ベースのアクセスを設定するための 2 つの異なるオプションを提供します AWS リージョン。次の図は、両方のオプション間で共通するリソースを示しています。 AWS Private CA は、 IAM Roles Anywhere がデプロイされているのと同じアカウントとリージョンに設定されています。トラストアンカーは IAM Roles Anywhere と の間に存在します AWS Private CA。デフォルトでは、 が AWS Private CA 生成するすべての証明書は署名プロセス中に使用でき、 AWS Certificate Manager (ACM) 内に保存されます。このガイドでは、アプリケーションは 内の 1 つ以上の Amazon Simple Storage Service (Amazon S3) バケットにアクセスしています AWS アカウント。

アーキテクチャには次の機能が必要です。

を介してリソースにアクセスするアクセス許可を委任するには IAM Roles Anywhere、アクセス許可ポリシーと信頼ポリシーを持つ IAM ロールを作成します。アクセス許可ポリシーは、リソースで目的のタスクを実行するために必要なアクセス許可を引き受けるエンティティに付与します。信頼ポリシーは、ロールを引き受けることができる信頼されたアカウントメンバーを指定します。このガイドでは、アクセス許可ポリシーはエンティティがアクセスできる Amazon S3 バケットを定義し、信頼ポリシーはロールを引き受けることができるアプリケーションを定義します。

このガイドでは、IAM ロールの信頼ポリシーの設定オプションを説明する以下のシナリオについて説明します。