AssumeRole を使用する Amazon S3 アカウントを使うと、 TntDrive が AWS Security Token Service (AWS STS) を呼び出して IAM ロールの一時認証情報を取得し、Amazon S3 バケットを Windows ドライブとしてマウントします。
TntDrive は既存のソースアカウントの認証情報で AssumeRole リクエストに署名します。ソースプリンシパルには対象ロールを引き受ける権限が必要で、ロールの信頼ポリシーでもそのプリンシパルを信頼する必要があります。
AWS STS は一時アクセスキー ID、シークレットアクセスキー、セッショントークンを返します。TntDrive はこれらをメモリに保持し、有効期限まで 5 分未満になると自動更新します。
ロールのセッション名は自動生成し、AWS の既定のセッション期間である 3,600 秒を使用します。
IAM ロールとソースアカウントの準備
- AssumeRole アカウントの作成前にソースアカウントを追加します。その認証情報で AWS STS リクエストに署名します。
- 対象ロールの信頼ポリシーでソースプリンシパルを信頼するよう設定します。
- クロスアカウントアクセスでは、ソースプリンシパルが対象ロール ARN に対して
sts:AssumeRole を実行できるようにします。 - 対象ロールには、使用するバケットと操作に必要な Amazon S3 権限のみを付与します。
- AWS GovCloud (US) では次を選択: AssumeRole 経由の Amazon S3 GovCloud (AWS GovCloud (US) 用のソースアカウントを使用します)。
TntDrive に Amazon S3 AssumeRole アカウントを追加
TntDrive のダッシュボードで次を選択: アカウント, 新しいアカウントを追加...
アカウント, 新しいアカウントを追加を選択します。 アカウントの追加 ダイアログが開きます。
TntDrive に Amazon S3 AssumeRole アカウントを追加 識別しやすいアカウント名を入力します。
選択: AssumeRole を使用する Amazon S3 (アカウントの種類)。
入力: ロール ARN(例: arn:aws:iam::123456789012:role/TntDriveS3Access)。
入力: 外部 ID は、対象ロールの信頼ポリシーで必要とされる場合にのみ入力します。ロール所有者が指定した値を正確に使用し、それ以外は空欄にします。
選択: ソースアカウント (次のリクエストの送信に使用する認証情報を持つアカウント): AssumeRole 。
次の設定を 安全な転送を使用 (SSL/TLS) 有効にします。
クリック: アカウントを追加.
これで 新しいドライブを追加 して、このアカウントを選択します。一時認証情報の取得と更新は自動的に行われます。
