一時的な資格情報は 、IAM ロールの AWS Security Token Service (AWS STS) によって生成されます。アカウントの IAM ロール AWS を設定すると、 は MID サーバー これらの一時的な認証情報を使用してリソースにアクセスします AWS 。デフォルトの IAM ロール、OrganizationAccountAccessRole を使用することも、カスタム IAM ロールを作成することもできます。

大規模な AWS 組織で IAM ロールを担うほうが、すべての AWS アカウントに永続的な資格情報を大量に使用するよりも便利で、かつ優れたセキュリティを提供できます。一時的な認証情報は、サービスアカウント [cmdb_ci_cloud_service_account] テーブルに、そのサービスアカウントに対して永続的な認証情報が指定されていない場合にのみ、サービスアカウントの代わりに取得されます。

MID サーバー は、AWS Security Token Service API の AssumeRole アクションを使用して、メンバーアカウントのロールを想定します。この API に渡されるパラメーターによって、AWS リソースへのアクセス時にロールに適用される追加のセキュリティ制限が決定されます。

デフォルトで、MID サーバー はプライマリアカウントのすべてのメンバーに一時的な資格情報を付与する OrganizationAccountAccessRole を担うように構成されます。このアクションは、メンバーアカウントに永続的な資格情報が存在しない場合に自動的に実行されます。この構成では追加のセキュリティは適用されず、メンバーアカウントのリソースに対するアクセスは制限されません。

デフォルトで、ServiceNow インスタンスはメンバーアカウントの一時的な資格情報を 60 分間キャッシュします。この期間があることで、検出時に毎回新しい資格情報が生成されることなく、水平検出プロセスが複数回実行されます。MID Server プロパティを使用して、資格情報のキャッシュを防止したり、キャッシュ期間を変更したりすることができます。