【Switch Role】特定のIAMユーザだけに権限を付与するには？信頼済アクセスを編集！

こんにちはますのです。
先日、複数のAWSアカウントを１つのIAMアカウントで跨いでアクセス出来るようにする方法を調べました。

【AWS SSO】【Switch Role】複数のAWSアカウントでログインを簡単に！

結果としてSwitch Roleを実装するようになり、IAMロールを触っていたのですが1つ問題が。。。
初期設定だとスイッチ元となる全IAMユーザ（正確にはAWSアカウントのroot権限）にアクセス権限を渡してしまうのです。
わたしの考えとしては「管理者グループに所属しているIAMユーザだけ」スイッチロールが出来るようにしたいのに…。

まぁ、グループを指定すれば余裕やで。と思い、信頼関係の編集からIAMロールのJSONを編集したところエラーが出ました。

JSON：principalに対してIAMグループを設定することは出来ない

どうやら2020年8月時点では、JSONの要素「principal」にグループを指定することは出来ないようです。

指定出来るPrincipal一覧

IAMユーザを指定する方法

運用上、IAMポリシーを管理する必要が出てしまうので避けたかったのです。
そこまで人数が多くない、頻度は少ないということもあり色々なものを天秤にかけた結果、今回はIAMユーザを設定する方法を取りました。

参考：https://dev.classmethod.jp/articles/cross-account-iam-role-tips/

変更する場所

1. スイッチ先のAWSアカウントにログイン
2. IAM＞ロール＞スイッチ用の作成したIAMロールを選択
3. タブ：信頼関係＞信頼関係の編集をクリック
   

変更前のJSON（デフォルト状態）

このJSONは指定したAWSアカウント(123456789012)のrootにスイッチロールの権限が付与されます。

{ 
 "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::123456789012:root"
      },
      "Action": "sts:AssumeRole",
      "Condition": {"Bool": { "aws:MultiFactorAuthPresent": "true"}}
    }
  ]
}

変更後のJSON（IAMユーザを指定）

指定したAWSアカウント(123456789012)のIAMユーザ１～３に対してのみ、スイッチロールの権限を付与します。

{ 
 "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::123456789012:user/<iamユーザ名1>",
        "AWS": "arn:aws:iam::123456789012:user/<iamユーザ名2>",
        "AWS": "arn:aws:iam::123456789012:user/<iamユーザ名3>"
      },
      "Action": "sts:AssumeRole",
      "Condition": {"Bool": { "aws:MultiFactorAuthPresent": "true"}}
    }
  ]
}