AWS の AssumeRole 機能は、権限分離やクロスアカウント操作など、セキュアな運用において非常に重要です。しかし、プライベートネットワーク環境（VPCエンドポイント使用時など）では、グローバルエンドポイントではなくリージョン固有のエンドポイントを使用する必要があります。

この記事では、boto v2 と boto3 それぞれで、リージョン固有の STS エンドポイントを使って AssumeRole を行う方法を解説します。

⚠️ 注意点
boto v2 は公式に非推奨されています。
ただし、既存システムやレガシーコードでまだ使われているケースも多いため、ここでは両方の実装を比較してご紹介します。
📦 前提条件

🛠️ boto v2 での実装（非推奨だが現実的な対応）

✅ 使用するクラス
RegionInfo
STSConnection

🔧 コード例
from boto.sts import STSConnection
from boto.regioninfo import RegionInfo

---- Step 1: RegionInfo を定義 ----

region_name = 'ap-northeast-1'
endpoint = 'sts.ap-northeast-1.amazonaws.com'

region = RegionInfo(
name=region_name,
endpoint=endpoint,
connection_cls=STSConnection
)

---- Step 2: STSConnection を生成 ----

sts = STSConnection(region=region)

---- Step 3: AssumeRole 実行 ----

assumed_role = sts.assume_role(
role_arn='arn:aws:iam::123456789012:role/YourTargetRole',
role_session_name='MySession'
)

---- Step 4: 取得した資格情報を使う ----

creds = assumed_role.credentials
print(f"AccessKeyId: {creds.access_key}")
print(f"SecretAccessKey: {creds.secret_key}")
print(f"SessionToken: {creds.session_token}")

🚀 boto3 での実装（推奨）

✅ 使用する機能
boto3.client('sts')
環境変数 AWS_STS_REGIONAL_ENDPOINTS=regional （オプション）
🔧 コード例
import boto3

---- Step 1: boto3 クライアント生成 ----

sts = boto3.client('sts', region_name='ap-northeast-1')

---- Step 2: AssumeRole 実行 ----

assumed_role = sts.assume_role(
RoleArn='arn:aws:iam::123456789012:role/YourTargetRole',
RoleSessionName='MySession'
)

---- Step 3: 取得した資格情報を使う ----

creds = assumed_role['Credentials']
print(f"AccessKeyId: {creds['AccessKeyId']}")
print(f"SecretAccessKey: {creds['SecretAccessKey']}")
print(f"SessionToken: {creds['SessionToken']}")

📝 まとめ

boto v2 のような非推奨環境でも、リージョン固有の STS エンドポイント経由で AssumeRole が可能であることを検証しました。
この記事が、古いシステムの改修や移行において、この情報が少しでもお役に立てば幸いです。

📢 （おまけ）
📁 boto v2 のソースコード場所確認方法

import boto
print(boto.__file__)