AWS Sign-in でのアクセス制限では AssumeRole も制限できますか？
2026.10.21
困っていた内容
AWS マネジメントコンソールへのアクセス制限について調査しています。
組織のセキュリティ要件として IP アドレスベースでのアクセス制限が必要なのですが、AssumeRole に関する制限の可否が不明でした。
AWS Sign-in でのアクセス制限では AssumeRole も制限できますか？
どう対応すればいいの？
いいえ、本記事執筆時点では AWS Sign-in のアクセス制限において AssumeRole は制限の対象外です。
現在の制限の対象は以下の通りです。
リソースベースのポリシーとリソースコントロールポリシーによるコンソールアクセスの制御 - AWS サインイン
AWS サインインリソースベースのポリシーと RCPsは、次の認証方法に適用されます。
- AWS マネジメントコンソール – コンソールのログインページを使用した直接サインイン。
- フェデレーティッド ID プロバイダー – SAML または OIDC フェデレーションを使用してサインインします。
- AWS サインインと統合されたアプリケーション – Amazon Connect、Amazon QuickSight、 AWS Health Dashboard、Amazon AppStream、Amazon Lightsail。
AssumeRole に関する挙動については以下の弊社ブログでも検証していますのでご参照ください。
[アップデート] AWS Sign-in がリソースベースポリシーに対応し、マネジメントコンソールへのサインインをネットワーク条件で制限できるようになりました | DevelopersIO
コンソール標準のスイッチロールは既存セッション内での AssumeRole であり、サインインの認証フローを通らないためポリシーが評価されないようです。
なお、AssumeRole 自体を制限する場合には IAM ロールの信頼ポリシーなどで制限する方法があるので代替案としてご検討ください。
IAM ロールを使用して特定の IP アドレスからの API コールを制限する | AWS re:Post
