OIDC

Posted at 2025-04-02

外部ユーザーのAWSリソースへのアクセス

・外部のIDプロバイダー（IdP）で認証されたユーザーは、取得したIDトークンを使用して、AWSのSecurity Token Service（STS）のAssumeRoleWithWebIdentity APIを呼び出す

・このAPI呼び出しにより、一時的なセキュリティ認証情報（アクセスキー、シークレットキー、セッショントークン）が発行され、ユーザーはこれを用いてAWSリソースにアクセスが可能となる

・サムプリントは、外部IdPのサーバー証明書のSHA-1ハッシュ値であり、AWSがそのIdPの真正性を検証するために使用される

・具体的には、AWS IAMでOIDC IDプロバイダーを設定する際に、このサムプリントを登録し、AWSとIdP間の通信時に、提供されたサーバー証明書が事前に登録されたサムプリントと一致するかを検証します。

・サムプリントは、AWSがIdPのサーバー証明書の真正性を確認する際に使用されますが、これは主にAWSとIdP間の信頼関係を確立するためのもの

・ユーザーが実際にAWSリソースにアクセスする際には、サムプリントは直接使用されません。代わりに、前述の一時的なセキュリティ認証情報が使用される