VPC エンドポイントポリシーによる AWS STS へのアクセスのコントロール

AWS Security Token Service (AWS STS) 用のインターフェイス VPC エンドポイントを作成するときに、エンドポイントポリシーをアタッチできます。ポリシーは、エンドポイントを使用できるプリンシパルと実行できる AWS STS アクションをコントロールします。ポリシーをアタッチしない場合、エンドポイントは、すべてのプリンシパルのすべての AWS STS アクションへの無制限アクセスを許可するデフォルトのポリシーを使用します。

VPC エンドポイントポリシーは、独自のアクセス許可を付与しません。これらは、他のポリシーと連携する追加の境界として機能します。エンドポイントポリシーと発信者の該当するポリシーの両方が、リクエストを成功させるために許可する必要があります。

VPC エンドポイントポリシーの詳細については、「Amazon VPC ユーザーガイド」の「エンドポイントポリシーを使用して VPC エンドポイントへのアクセスを制御する」を参照してください。

デフォルトの VPC エンドポイントポリシー

エンドポイントの作成時にカスタムポリシーをアタッチしない場合、AWS は次のデフォルトポリシーをアタッチします。このポリシーは、エンドポイントへの無制限アクセスを許可します。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": "*",
            "Resource": "*"
        }
    ]
}

エンドポイントへのアクセスを制限するには、カスタムエンドポイントポリシーをアタッチします。

AWS STS VPC エンドポイントポリシーに関する重要な考慮事項

AWS STS は、基本的に異なる 2 つのタイプの発信者からのリクエストを処理します。VPC エンドポイントポリシーは、正当なリクエストを意図せずにブロックしないように、両方のタイプを考慮する必要があります。

AWS STS がフェデレーティッド発信者の VPC エンドポイントポリシーを評価する方法

フェデレーティッド発信者が VPC エンドポイントを介して AssumeRoleWithSAML または AssumeRoleWithWebIdentity を呼び出す場合、以下が適用されます:

これらの発信者には利用可能なプリンシパルベースの条件キーがないため、フェデレーティッド発信者に適用する必要がある VPC エンドポイントポリシーステートメントを記述する場合は、aws:ResourceOrgID または aws:ResourceAccount を使用することをお勧めします。

AWS STS VPC エンドポイントポリシーで利用可能な条件キー

次の表は、AWS STS VPC エンドポイントを介してリクエストを行うときに一般的に使用される条件キーと、各発信者タイプのリクエストコンテキストでの可用性を示しています。追加の条件キーは、ここに記載されている条件キー以外にも利用可能です。

例: 組織のすべての AWS STS アクションを許可する

次のエンドポイントポリシーは、フェデレーティッドアクセスをサポートしながら、AWS STS VPC エンドポイントを組織に制限します。これにより、組織内の認証されたプリンシパルに対するすべての AWS STS アクションが許可され、フェデレーティッド発信者が組織内のロールを引き受けることが個別に許可されます。フェデレーティッド発信者 (AssumeRoleWithSAML および AssumeRoleWithWebIdentity) には、リクエストコンテキストに aws:PrincipalOrgID がないため、個別のステートメントが必要です。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowOrganizationPrincipals",
            "Effect": "Allow",
            "Principal": {
                "AWS": "*"
            },
            "Action": "sts:*",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:PrincipalOrgID": "o-exampleorgid"
                }
            }
        },
        {
            "Sid": "AllowFederatedAssumeRole",
            "Effect": "Allow",
            "Principal": "*",
            "Action": [
                "sts:AssumeRoleWithSAML",
                "sts:AssumeRoleWithWebIdentity"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceOrgID": "o-exampleorgid"
                }
            }
        }
    ]
}

最初のステートメントでは、aws:PrincipalOrgID とともに "Principal": {"AWS": "*"} を使用して、組織からの認証された AWS プリンシパルを許可します。2 番目のステートメントでは、"Principal": "*" を使用してフェデレーティッド発信者を照合し、aws:ResourceOrgID を使用してターゲットロールを組織に制限します。ロールの信頼ポリシーは、フェデレーティッドアイデンティティがどのロールを引き受けることができるかについて、プライマリコントロールのままになります。

ネットワーク境界コントロールの実装の詳細については、「AWS でのデータ境界の構築」および GitHub ウェブサイトの「データ境界ポリシーの例」を参照してください。

例: 特定のアカウントにすべての AWS STS アクションを許可する

次の VPC エンドポイントポリシーは、特定のアカウントのプリンシパルにすべての AWS STS アクションを許可します。このポリシーは、アカウントが組織の一部でない場合に使用します。フェデレーティッド発信者は、リクエストコンテキストに aws:PrincipalAccount がないため、個別のステートメントで許可されます。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowSpecificAccountPrincipals",
            "Effect": "Allow",
            "Principal": {
                "AWS": "*"
            },
            "Action": "sts:*",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:PrincipalAccount": [
                        "111122223333",
                        "444455556666"
                    ]
                }
            }
        },
        {
            "Sid": "AllowFederatedAssumeRole",
            "Effect": "Allow",
            "Principal": "*",
            "Action": [
                "sts:AssumeRoleWithSAML",
                "sts:AssumeRoleWithWebIdentity"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": [
                        "111122223333",
                        "444455556666"
                    ]
                }
            }
        }
    ]
}

最初のステートメントでは、aws:PrincipalAccount とともに "Principal": {"AWS": "*"} を使用して、指定されたアカウントからの認証された AWS プリンシパルを許可します。2 番目のステートメントでは、"Principal": "*" を使用してフェデレーティッド発信者を照合し、aws:ResourceAccount を使用してターゲットロールを同じアカウントに制限します。ロールの信頼ポリシーは、フェデレーティッドアイデンティティがどのロールを引き受けることができるかについて、プライマリコントロールのままになります。

例: 特定の AWS STS アクションに制限する

次のエンドポイントポリシーでは、認証されたプリンシパルに対してのみ AssumeRole を、またフェデレーティッド発信者に対してのみ AssumeRoleWithSAML を許可し、どちらも組織内のロールに限定されます。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowAssumeRoleByOrgPrincipals",
            "Effect": "Allow",
            "Principal": {
                "AWS": "*"
            },
            "Action": "sts:AssumeRole",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:PrincipalOrgID": "o-exampleorgid"
                }
            }
        },
        {
            "Sid": "AllowSAMLFederation",
            "Effect": "Allow",
            "Principal": "*",
            "Action": "sts:AssumeRoleWithSAML",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceOrgID": "o-exampleorgid"
                }
            }
        }
    ]
}

このポリシーは、このエンドポイントを介して GetCallerIdentity、GetSessionToken、AssumeRoleWithWebIdentity などの他の AWS STS アクションをブロックします。Action 要素を調整して、要件を照合します。

例: フェデレーションを許可しながら非組織アクセスを拒否する

次のエンドポイントポリシーは、明示的な拒否を使用して、フェデレーティッド発信者のアクセスを維持しながら、組織外の認証されたプリンシパルをブロックします。このアプローチは、広範な許可から始まり、ターゲットを絞った拒否ステートメントを追加します。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowAll",
            "Effect": "Allow",
            "Principal": "*",
            "Action": "*",
            "Resource": "*"
        },
        {
            "Sid": "DenyNonOrgPrincipals",
            "Effect": "Deny",
            "Principal": {
                "AWS": "*"
            },
            "Action": "sts:*",
            "Resource": "*",
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalOrgID": "o-exampleorgid"
                }
            }
        }
    ]
}

拒否ステートメントは "Principal": {"AWS": "*"} を使用して、認証された AWS プリンシパルのみを対象とします。フェデレーティッド発信者 (SAML および OIDC) は AWS プリンシパルではなく、この Principal 要素によって照合されないため、拒否は適用されません。このアプローチにより、フェデレーティッド発信者の例外を排除するために、複雑な Null またはBool 条件が不要になります。