Azure フェデレーションロール

Azure フェデレーションロールを使用すると、Systems Manager は AWS Security Token Service (AWS STS) からウェブ ID トークンを取得し、OIDC フェデレーションを通じて Azure 認証情報と交換できます。Automation は、ランブックの実行中にこのロールを引き受けて Azure テナントを認証します。Systems Manager サービスもこのロールを直接引き受けて、State Manager 関連付けが存在する前に Cloud Connector を検証します。

ロール名のパターン:SSM-AzureRole-connector-name-id8

信頼ポリシーには、2 つのステートメントが含まれています。

123456789012 を AWS アカウント ID に置き換えます。

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "sts:AssumeRole",
            "Principal": {
                "AWS": "arn:aws:iam::123456789012:root"
            },
            "Condition": {
                "StringEquals": {
                    "aws:PrincipalTag/caller": "SSM"
                },
                "ArnLike": {
                    "aws:PrincipalArn": [
                        "arn:aws:iam::123456789012:role/service-role/SSM-AzureAssumeRole*",
                        "arn:aws:iam::123456789012:role/service-role/SSM-AzureDispatchRole*"
                    ]
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "sts:AssumeRole",
            "Principal": {
                "Service": "ssm.amazonaws.com"
            },
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "123456789012"
                },
                "ArnLike": {
                    "aws:SourceArn": "arn:aws:ssm:*:123456789012:connector/*"
                }
            }
        }
    ]
}

アクセス許可ポリシーにより、そのロールは、対象者が api://AzureADTokenExchange に制限されたウェブ ID トークンを取得できます。これは、Microsoft Entra ID で OIDC フェデレーションに対して必要となる対象者です。

アクセス許可の詳細

このポリシーには、以下のアクセス許可が含まれています。

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "sts:GetWebIdentityToken",
                "sts:TagGetWebIdentityToken"
            ],
            "Resource": "*",
            "Condition": {
                "ForAnyValue:StringEquals": {
                    "sts:IdentityTokenAudience": [
                        "api://AzureADTokenExchange"
                    ]
                }
            }
        }
    ]
}