【AWS SSO】【Switch Role】複数のAWSアカウントでログインを簡単に！

こんにちはますのです。
AWSアカウントを部署毎に作ったり、本番/ステージング/テストなどで環境ごとに変える管理をするなどあるのではないでしょうか。

複数環境を作ることで発生する悩ましい問題が「共通する人間のアカウント管理」かと思います。
AWSアカウントが増えれば増えるほど、異動発生時に管理するIAMが増えていって時間がもってかれますよね。

ということで、複数のAWSアカウントでログインユーザを管理するにはどうするのが良いのか？をサポートに聞いてみましたので備忘録です。

ベストプラクティスでは「スイッチロール」での管理となる

AWSのベストプラクティスに沿った管理手法としては「スイッチロール」でのアカウント切替を推奨しているようです。

筆者の結論：請求方法とアカウント管理方法の要件で変わる

実装時の要件にどちらがいかにマッチするか？？という点で変わってくる印象です。
あくまでも筆者の考えとして、おおよそ以下2点が大きな分岐になるかな？と感じました。

• AWSアカウント毎に請求を分割したい場合：Switch Roleを利用
• 異動が頻繁に発生しADで管理している場合：AWS SSOを利用

AWS SSOを利用する場合の要件

AWS SSOを利用するにはいくつか縛りが発生します。

• AWS Organizationを利用する
• 料金請求はアカウント毎ではなく、すべてのアカウント分を一括請求する
• バージニアリージョンでのみ利用可能

わたしは「アカウント毎の請求」が出来ない点がネックとなり、AWS SSOは検討の土台に乗らなかったです。

AWS SSOを利用するメリット

AWSドキュメントから画像を拝借。主に以下の3つのようですね。

• 社内のオンプレActiveDirectoryを利用してAWSコンソールにアクセスが可能。
• Office365、Gsuite、GitHub、Salesforce、Slack等の業務アプリケーションのSSOとして利用可能。
• SAML実装アプリケーションへSSOを提供可能。

Switch Roleを利用する場合の要件

スイッチロールに関してはADとの連携ではなく、IAMの管理となります。
そのためスイッチ元となるAWSアカウントのIAMユーザ管理は必要になります。

• スイッチ先のIAMロールの作成。
• スイッチ元のIAMポリシーの作成。
• IAMグループでの細かな管理は不可、個別設定する場合はIAMユーザ毎のJSONを記載する必要がある。
• スイッチ先のアクセス権限は「IAMロール」に記載されている内容になる。スイッチ元の権限は継承されない。

スイッチロールのイメージ図

引用：Swith Roleで複数のAWSアカウント間を切替える

Switch Roleを利用する際のメリット

• スイッチ元の全IAMユーザ、もしくはIAMグループ単位に展開する場合、設定以降は管理が不要

もうこれにつきます。はい。
以下のJSONを、スイッチ元（上図での「開発アカウント」）のIAMポリシーに仕込めば手入れ不要になります。

{
    "Version": "2012-10-17",
    "Statement": {
        "Effect": "Allow",
        "Action": "sts:AssumeRole",
        "Resource": "arn:aws:iam::<スイッチ先のAWSアカウントID>:role/<スイッチ先に作成したIAMロール名>"
    }
}

なお、細かい設定手順はクラスメソッドさんの記事をご覧あれです。

IAMグループ単位にスイッチロールの権限を付与する

あとは作成した「sts:AssumeRole」の許可されたIAMポリシーを、特定のIAMグループにアタッチすればIAMグループ単位での許可が可能となります。

手順：【Switch Role】特定のIAMグループのみに権限を付与する

IAMユーザ単位にスイッチロールの権限を付与する

特定のIAMユーザに限定してSwitchRoleを設定する方法