翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

AWS サインイン条件キーリファレンス

このページでは、 AWS サインインリソースベースのポリシーとリソースコントロールポリシー (RCPs) で使用できる条件キーを一覧表示し、各キーが適用される評価フェーズとアクションを示します。 AWS サインインにのみ固有signin:PrincipalArnであり、その他は AWS グローバル条件キーです。グローバルキーの定義については、AWS 「 グローバル条件コンテキストキー」を参照してください。

サービス認可リファレンスのアクションと条件キーの完全なリストについては、AWS 「サインインのアクション、リソース、および条件キー」を参照してください。

ネットワークベースの条件キー

これらの条件キーは、リクエストの送信元をチェックします。 AWS Sign-In は、リソースベースのポリシーと RCPs の両方で、すべての AWS サインインアクション (signin:Authenticate、signin:AuthorizeOAuth2Access、signin:CreateOAuth2Token) についてそれらを評価します。

ID ベースの条件キー

これらの条件キーは、リクエストを行っているユーザーをチェックします。これらは、プリンシパル ID が確立された認証後アクション (signin:AuthorizeOAuth2Access および signin:CreateOAuth2Token) でのみ使用できます。

サービス固有の条件キー: signin:PrincipalArn

次の条件キーは AWS サインインに固有であり、グローバル AWS キーではありません。これは、認証前評価中にのみ使用できます。を使用してsignin:PrincipalArn、認証が完了する前にサインインを開始するプリンシパルを識別します。これは と同等の事前認証でありaws:PrincipalArn、認証後までは使用できません。

ARN 演算子を使用して値を比較します。次のプリンシパルタイプを指定できます。

ユースケース: 除外されたプリンシパル ID をネットワーク制限から除外し、他のすべてのアクセス試行に対してネットワークコントロールを適用しながらロックアウトを防止します。

例 – ルートユーザーを除き、不正なネットワークからの事前認証アクセスを拒否します。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Principal": { "AWS": "*" },
      "Action": ["signin:Authenticate"],
      "Resource": "*",
      "Condition": {
        "ArnNotEquals": {
          "signin:PrincipalArn": "arn:aws:iam::123456789012:root"
        },
        "NotIpAddress": {
          "aws:SourceIp": "203.0.113.0/24"
        },
        "StringEquals": {
          "aws:ResourceAccount": "123456789012"
        }
      }
    },
    {
      "Effect": "Deny",
      "Principal": { "AWS": "*" },
      "Action": ["signin:CreateOAuth2Token", "signin:AuthorizeOAuth2Access"],
      "Resource": "*",
      "Condition": {
        "ArnNotEquals": {
          "aws:PrincipalArn": "arn:aws:iam::123456789012:root"
        },
        "NotIpAddress": {
          "aws:SourceIp": "203.0.113.0/24"
        },
        "StringEquals": {
          "aws:ResourceAccount": "123456789012"
        }
      }
    }
  ]
}

このポリシーは、アカウントのルートユーザーを除き、203.0.113.0/24IP 範囲外からのコンソールアクセスを拒否します。認証前ステートメントは、認証が完了する前に signin:PrincipalArn を使用してルートユーザーを除外します。認証後ステートメントはaws:PrincipalArn、OAuth トークン交換中に、認証後に を使用して同じプリンシパルを除外します。「ポリシーの例」を参照してください。

OAuth 条件キー

AWS サインインには、アプリケーションが OAuth 認可と OAuth トークンを取得する方法を制御するために IAM ポリシーで使用できる OAuth 固有の条件キーが用意されています。これらの条件キーを使用すると、接続できる OAuth クライアント、信頼できるリダイレクト URIs、許可される OAuth 認可フロー、OAuth クライアントの認証方法、管理できる OAuth トークンを制限できます。

OAuth 条件キーは、IAM ID ポリシー、サービスコントロールポリシー (SCPs)、リソースコントロールポリシー (RCPs)、および AWS サインインアクションをサポートするその他の IAM ポリシータイプで使用できます。

次の OAuth 条件キーを使用できます。

サインイン:OAuthClientId

を使用してsignin:OAuthClientId、アクセスをリクエストしている登録済みの OAuth クライアントに基づいて OAuth 認可を許可または拒否します。

OAuth クライアント IDs は AWS 、サインイン動的クライアント登録 (DCR) ARNs。

非インタラクティブ (クライアント認証情報) フローの場合、暗黙的なクライアント ID は ですarn:aws:signin:::client-credentials/sigv4。

例 – 特定の登録済み OAuth クライアントのみを許可します。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "signin:AuthorizeOAuth2Access",
        "signin:CreateOAuth2Token"
      ],
      "Resource": "arn:aws:signin:*:*:service-principal/aws-mcp.amazonaws.com",
      "Condition": {
        "StringEquals": {
          "signin:OAuthClientId": "arn:aws:signin:us-east-1::external-client/dcr/081e0aeb-e779-4dfe-9648-bd5bf6e6afa4"
        }
      }
    }
  ]
}

サインイン:OAuthRedirectUri

を使用してsignin:OAuthRedirectUri、OAuth 認可レスポンスが配信される場所を制限します。

これは、開発中に localhost などの信頼されたリダイレクト URIs にのみ OAuth 認可レスポンスが返されるようにするために一般的に使用されます。

signin:CreateOAuth2PublicClient アクションの場合、この条件キーは VPC エンドポイント (VPCE) ポリシー評価にのみ適用されます。

例 – localhost リダイレクト URIs とインタラクティブ OAuth フローに対してのみ、ブラウザベースの認可を許可します。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "signin:AuthorizeOAuth2Access",
        "signin:CreateOAuth2Token"
      ],
      "Resource": "arn:aws:signin:*:*:service-principal/aws-mcp.amazonaws.com",
      "Condition": {
        "StringLike": {
          "signin:OAuthRedirectUri": "http://localhost:*"
        },
        "StringEquals": {
          "signin:OAuthGrantType": [
            "authorization_code",
            "refresh_token"
          ]
        }
      }
    }
  ]
}

signin:OAuthGrantType

を使用してsignin:OAuthGrantType、アプリケーションが使用できる OAuth グラントタイプを制御します。

サポートされる値を次に示します。

例 – ブラウザベースの OAuth 認可のみを許可し、アプリケーションがクライアント認証情報付与を使用できないようにします。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "signin:CreateOAuth2Token",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "signin:OAuthGrantType": [
            "authorization_code",
            "refresh_token"
          ]
        }
      }
    }
  ]
}

サインイン:OAuthClientAuthentication

を使用してsignin:OAuthClientAuthentication、OAuth クライアントがアクセストークンをリクエストするときに使用できるクライアント認証方法を制御します。

現在サポートされている値:

例 – OAuth オペレーションのパブリッククライアントを拒否します。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": "signin:CreateOAuth2Token",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "signin:OAuthClientAuthentication": "none"
        }
      }
    }
  ]
}

signin:OAuthTokenType

を使用してsignin:OAuthTokenType、どの OAuth トークンタイプをイントロスペクションまたは取り消すことができるかを制御します。

サポートされる値を次に示します。

例 – 更新トークンの取り消しのみを許可します。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "signin:RevokeOAuth2Token",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "signin:OAuthTokenType": "refresh_token"
        }
      }
    }
  ]
}

アクション別の条件キーの可用性

次の表は、各アクションで使用できる条件キーを示しています。

関連情報