IAM Roles AnywhereでIAMアクセスキーを撲滅する

Fri, 10 Jul 2026 12:50:51 +0900

よ〜んです。

最近、Lightsail上でHermes Agentを動かしています。

Hermes AgentからAmazon Bedrockを利用したいんですが、認証方法で少し悩みました。

EC2であればIAMロールをアタッチするだけで終わります。一方、LightsailにはIAMロールを付与する仕組みがありません。

そのため、一般的にはIAMユーザーを作成し、アクセスキーをサーバーへ配置することになります。

ということで今回は IAM Roles Anywhere を使って、LightsailからIAMアクセスキーなしでAmazon Bedrockを呼び出してみます。

IAM Roles Anywhere

IAM Roles Anywhereは、AWSの外部で動作するワークロードからIAMロールを利用するためのサービスです。

X.509証明書を使って認証し、AWS STSから一時認証情報を取得します。

そのため、長期間利用できるIAMアクセスキーを保持する必要がありません。

オンプレミスや他クラウド向けのサービスという印象がありますが、IAMロールを付与できないLightsailでも利用できます。

今回の構成はこんな感じです。

flowchart LR
 A[Lightsail]
 B[aws_signing_helper]
 C[IAM Roles Anywhere]
 D[AWS STS]
 E[Amazon Bedrock]

 A --> B
 B --> C
 C --> D
 D --> E

Hermes Agentは aws_signing_helper を使って認証します。

IAM Roles AnywhereはAWS STSから一時認証情報を取得し、その認証情報を使ってAmazon Bedrockを呼び出します。

なので、LightsailにはIAMアクセスキーを配置しません。