OIDC フェデレーション
ワークフローを使用して Amazon S3 や DynamoDB にアクセスする GitHub Actions などの AWS リソースにアクセスするアプリケーションを作成するとします。
このようなワークフローを作成する場合、AWS アクセスキーで署名される必要のある AWS サービスに対してリクエストを実行します。ただし、AWS 外部のアプリケーションには AWS 認証情報を長期間保存しないことを強くお勧めします。代わりに、OIDC フェデレーションを使用することで、必要に応じて一時的な AWS セキュリティ認証情報を動的に要求するようにアプリケーションを設定できます。提供される一時的な認証情報は、アプリケーションで必要とされるタスクの実行に必要なアクセス許可のみを持つ AWS ロールにマッピングされます。
OIDC フェデレーションを使用すると、カスタムサインインコードを作成したり独自のユーザー ID を管理したりする必要はありません。代わりに、GitHub Actions などのアプリケーションやその他の OpenID Connect (OIDC)
OIDC フェデレーションは、マシン間認証認証 (CI/CD パイプライン、自動スクリプト、サーバーレスアプリケーションなど) とヒューマンユーザー認証の両方をサポートします。ユーザーサインアップ、サインイン、ユーザープロファイルを管理する必要があるヒューマンユーザー認証シナリオでは、Amazon Cognito
注記
OpenID Connect (OIDC) ID プロバイダーによって発行された JSON ウェブトークン (JWT) では、トークンの有効期限を指定する有効期限が exp クレームに含まれています。IAM は、OpenID Connect (OIDC) Core 1.0 標準
トピック
OIDC フェデレーションに関するその他のリソース
OIDC フェデレーションの詳細を理解するのに、次のリソースが役に立ちます。
-
Amazon Web Services で OpenID Connect を設定
することによって GitHub ワークフロー内で OpenID Connect を使用します。 -
「Android 向け Amplify ライブラリガイド」の「Amazon Cognito Identity
」と、「Swift 向け Amplify ライブラリガイド」の「Amazon Cognito Identity 」。 -
クロスアカウントアクセスと外部 ID フェデレーションを安全に設定するためのガイダンスについては、「AWS セキュリティブログ」の「How to use external ID when granting access to your AWS resources
」を参照してください。
