AWS支援以暫時性憑證跨分區存取雲端資源

AWS擴充安全權杖服務（STS），支援工作負載跨AWS分區（AWS Partitions）以既有身分取得暫時性憑證，直接存取經授權的雲端資源。過去商用分區與GovCloud等分區具獨立IAM系統，憑證無法直接跨區使用，常需依賴長期有效的IAM使用者存取金鑰。新機制透過GetWebIdentityToken向來源分區STS取得短效JWT，再經由AssumeRoleWithWebIdentity送交目標分區STS交換暫時性憑證，降低長期金鑰維護成本與外洩風險。此功能非預設啟用，需由管理員配置身分聯合與信任政策，且跨區存取活動可經AWS CloudTrail追蹤紀錄。該功能已在所有商用區域、GovCloud、中國及德國主權雲等區域開放且不另收費。

值得帶走的重點

• AWS STS支援跨分區發行短效JWT並交換目標分區的IAM暫時性憑證，減少對長期存取金鑰的依賴。
• 跨分區存取機制非預設啟用，管理者須主動在來源與目標帳號配置身分聯合與信任關係，並可由CloudTrail記錄操作日誌。
• 該功能已於AWS商用區域、GovCloud（US）、中國區域及德國歐洲主權雲區域提供，無須額外付費。