サービスアカウントと STS

RustFS には、既存のアイデンティティから派生した認証情報を発行する仕組みが 2 つあります。サービスアカウント（親ユーザーが所有する長期のアクセスキー）と、STS の一時認証情報（セッショントークンを持つ短期間のキー）です。

サービスアカウントCopy Anchor Link

サービスアカウントは、親の IAM ユーザー（またはルートアカウント）に属するアクセスキーとシークレットキーの組です。通常のキーと同じように認証しますが、認可は親として行われます。

• 継承ポリシー（既定）。 ポリシーなしでサービスアカウントを作成すると、リクエスト時点で親ユーザーのポリシーを組み合わせた結果が許可する範囲を継承します。
• セッションに結び付くポリシー。 作成時にポリシードキュメントを指定すると、それがサービスアカウントに埋め込まれます。リクエストは、親のポリシーと埋め込まれたポリシーの両方で許可される必要があります。
• 有効期限。 任意の有効期限タイムスタンプ（RFC 3339）を設定できます。その時刻を過ぎると、認証情報は動作しなくなります。

サービスアカウントは AssumeRole を呼び出せず、サービスアカウントのアクセスキーを通常の IAM ユーザーに変換することもできません。

Console では、サービスアカウントを Access Keys（アクセスキー）のページで管理します。アクセスキーの管理を参照します。管理 API は次を提供します。

作成時の本文（注記がない限り、すべてのフィールドは任意です）。

{
  "policy": { "Version": "2012-10-17", "Statement": [] },
  "targetUser": "alice",
  "accessKey": "myserviceaccount",
  "secretKey": "mysecret",
  "name": "ci-pipeline",
  "description": "Key used by CI",
  "expiration": "2027-01-01T00:00:00Z"
}

STS の一時認証情報Copy Anchor Link

RustFS は、サーバールートに AWS 互換の STS エンドポイントを実装しています（フォームエンコードされたパラメータによる POST /）。対応するアクションは 2 つです。

• AssumeRole — 既存の IAM アイデンティティ向けです。SigV4 で署名します。
• AssumeRoleWithWebIdentity — OIDC アイデンティティ向けです。JWT 自体で認証します（外部アイデンティティ（OIDC）を参照）。

AssumeRoleCopy Anchor Link

リクエストは、長期の IAM 認証情報で署名する必要があります（AWS Signature V4）。一時認証情報とサービスアカウントは AssumeRole を呼び出せません。組み込みの IAM 認可では、RustFS は通常の IAM ユーザーに対する sts:AssumeRole を拒否のみのモードで評価します。一致する明示的な Deny はリクエストを拒否しますが、別途 Allow は必須ではありません。ユーザーには、適用可能なユーザーまたはグループのポリシー割り当てが少なくとも 1 つ必要であり、割り当てられたポリシー名はすべて解決される必要があります。

フォームパラメータは次のとおりです。

例は次のとおりです。

curl -s -X POST "https://rustfs.example.com/" \
  --user "$ACCESS_KEY:$SECRET_KEY" \
  --aws-sigv4 "aws:amz:us-east-1:s3" \
  -d "Action=AssumeRole" \
  -d "Version=2011-06-15" \
  -d "DurationSeconds=3600"

レスポンスは XML の AssumeRoleResponse で、AccessKeyId、SecretAccessKey、SessionToken、Expiration を含みます。後続の S3 リクエストでは、3 つの値をすべて使います（セッショントークンは X-Amz-Security-Token に入れます）。

一時認証情報は呼び出し元のポリシーを継承します。認証情報の parent は、呼び出しに使ったアクセスキーです。Policy パラメータを指定した場合、それはセッションに保存され、追加の制限として適用されます。

AssumeRoleWithWebIdentityCopy Anchor Link

OIDC フローで使います。アイデンティティプロバイダーの JWT が認証になるため、SigV4 署名は不要です。

RustFS は、設定されたプロバイダーに対してトークンを検証し（署名、発行者、オーディエンス、有効期限）、groups と roles のクレームを RustFS のポリシー名に対応付けます。ポリシーまたはグループを対応付けできない場合、リクエストは拒否されます。レスポンスは XML の AssumeRoleWithWebIdentityResponse で、同じ認証情報フィールドに加えて SubjectFromWebIdentityToken を含みます。