AWS IAM Roles Anywhere
AWS 外のマシン向け IAM role
AWS 外（オンプレミス、他のクラウド）で動くサーバーやアプリケーションが、長期の access key を保存する代わりに、信頼する CA が発行した X.509 証明書を使って IAM role の一時的な credential を取得できるようにします。
- コスト$ 安い
- 難易度●●●●●
- 未使用でも課金？いいえ
- サーバーレス
- 出題試験SAA · SOA
たとえるなら会社の署名入りの社員証を使って、一時的な入館証と引き換えるようなものです。
いつ使う？
✓ 使うべき場面
すでに PKI を持つ AWS 外の workload が AWS の API を呼び出す必要があるとき。
✗ 避けるべき場面
Systems Manager で管理済みのオンプレミスマシン → hybrid activation を使用。AWS 内の workload → 通常の IAM role。
よくある使い方
- access key 不要のオンプレミスサーバーから S3 へのアップロード
- 他クラウド上のアプリケーションからの DynamoDB 読み取り
- オンプレミス CI/CD での長期 access key の置き換え
料金はいくら？
- 課金方式: 無料です。Private CA を使う場合は CA の料金のみ支払います。
