複数のアカウントがあると、利用したいアカウントにログインしたり、ログアウトする必要がありますが、
Switch Roleアクションを利用すると、１つログインすると、Switch Roleで、他のアカウントを利用することができます。

社員が増えたり、減ったりしますが、１環境のみユーザを作ればよく、各アカウントごとにユーザを作る必要がなくなります。

「Assume Roleアクション」は他者にAWSアカウントの権限を委譲する仕組みです。
他者にスイッチロールができるようになります。
設定は、各ロールで「信頼関係」を設定することで、権限を付与することができます。

スイッチロールするときに、
AWS STS(Security Token Service)のAssume Roleアクションによって、IAMロールから一時的認証情報（アクセスキーID、シークレットアクセスキー、セッショントークン）を取得して使用します。

スイッチロールするポリシーを作成し、それをユーザに割り当てましょう。

• [ポリシー][ポリシーの作成]（例：SwitchRole-Infra, AllowAssumeRoleWithSourceIPRestriction）
• 「JSON」を選択し、以下のようにします。

{
  "Version": "2012-10-17",
  "Statement": {
      "Effect": "Allow",
      "Action": "sts:AssumeRole"
      "Resource": "*"
    }
}

1234567890の誰にでもスイッチロールできる。

{
  "Version": "2012-10-17",
  "Statement": {
      "Effect": "Allow",
      "Action": "sts:AssumeRole"
      "Resource": "arn:aws:iam::1234567890:role/*"
    }
}

1234567890のsw-admin-writeロールにスイッチロールできる。

{
  "Version": "2012-10-17",
  "Statement": {
      "Effect": "Allow",
      "Action": "sts:AssumeRole"
      "Resource": [
          "arn:aws:iam::1234567890:role/sw-admin-write",
          "arn:aws:iam::9988776655:role/sw-admin-write"
       ]
    }
}

特定 IP のみ特権ロールの AssumeRole を許可する。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowAssumeRole",
            "Effect": "Allow",
            "Action": "sts:AssumeRole",
            "Resource": "arn:aws:iam::xxxxxxxxxx:role/AssumedAdministratorAccessRole"
        },
        {
            "Sid": "SourceIPRestriction",
            "Effect": "Deny",
            "Action": "*",
            "Resource": "*",
            "Condition": {
                "NotIpAddress": {
                    "aws:SourceIp": [
                        "xxx.xxx.xxx.xxx/32"
                    ]
                }
            }
        }
    ]
}

• [ロール] - [ロールを作成]
• 「別のAWSアカウント」を選択
• 「123456789012」のようなスイッチロールしてくるAWSアカウントIDを入力する。
• ポリシーを選択する。（例：ReadOnlyAccess、AdministratorAccess）
• 「ロール名」を入力して、「ロールの作成」（例：switchrole-dev, switchrole-infra）
  • スイッチロールする時に指定するロール名
• 作成したロールを選択し、信頼関係タブで、「信頼関係の編集」をクリックします。

スイッチロールされるロールの「信頼関係」で、許可するユーザを追加します。

特定 IP からのみIAM ユーザーがこのロールを引き受けられるように設定します。

スイッチロールされるロールの「信頼関係」に以下のように設定します。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": [
        "arn:aws:iam::xxxxxxxxxxxxxxx:user/xxxxxxxxx",
        "arn:aws:iam::xxxxxxxxxxxxxxx:user/xxxxxxxxx",
        "arn:aws:iam::xxxxxxxxxxxxxxx:user/xxxxxxxxx",
        "arn:aws:iam::xxxxxxxxxxxxxxx:user/xxxxxxxxx"
        ]
      },
      "Action": "sts:AssumeRole"
      "Condition": {
        "IpAddress": {
            "aws:SourceIp": "x.x.x.x/32"
        }
      }
    }
  ]
}

スイッチロールされるロールの「信頼関係」に以下のように設定します。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::aaaaaaaa:root"
      },
      "Action": "sts:AssumeRole"
      "Condition": {
        "ArnLike": {
            "aws:PrincipalArn": "arn:aws:iam::aaaaaaaaaa:user/*_infra"
        }
      }
    }
  ]
}

スイッチロールされるロールの「信頼関係」に以下のように設定します。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::123456789012:root"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

SwichRoleのIAMを変更したら、ログアウト、ログインして確認しましょう。
そのままスイッチロールだけ確認すると、ログインできたり、できなかったりおかしい状態になります。

(1)右上のアカウント名をクリックし、「ロールの切り替え」を選択します。

(2)以下を入力し、「ロールの切り替え」をクリックします。

• --role-arnは、スイッチ先のIAM RoleのARN

aws sts assume-role --role-arn "arn:aws:iam::12345678901:role/sw-service1-infra" --role-session-name sw-service1-infraSession

# 環境変数を設定
export AWS_ACCESS_KEY_ID=xxxxxxxxxxxxxxxxx
export AWS_SECRET_ACCESS_KEY=xxxxxxxxxxxxxxxxx
export AWS_SESSION_TOKEN=xxxxxxxxxxxxxxxxx

# 環境変数を削除
unset AWS_ACCESS_KEY_ID AWS_SECRET_ACCESS_KEY AWS_SESSION_TOKEN

$HOME/.aws/credential

[operator]
aws_access_key_id = dummy_access_key
aws_secret_access_key = dummy_secret_key

[dst-role]
role_arn = arn:aws:iam::123456789012:role/some-role
source_profile = operator

$ aws s3 ls --profile dst-role

参考：AWS CLIでインスタンスプロファイルからのAssumeRoleが簡単になりました | DevelopersIO

[dst-role]
role_arn = arn:aws:iam::123456789012:role/some-role
credential_source=Ec2InstanceMetadata

Ec2InstanceMetadata : EC2 インスタンスプロファイルを利用

$ aws s3 ls --profile dst-role

参考：AWS CLIでインスタンスプロファイルからのAssumeRoleが簡単になりました | DevelopersIO

• やさしいAssume Roleの設定（EC2のアクセス許可） | Oji-Cloud
• [小ネタ] 同一のAWSアカウント内でスイッチロールする（マネジメントコンソール） | DevelopersIO
• 【AWS】IAM ユーザーに IP 制限 | ハックノート
• 送信元 IPアドレス に基づいて AWS へのアクセスを拒否する際に追加で設定しておきたいこと - GA technologies GROUP Tech Blog

• https://stackoverflow.com/questions/34922920/how-can-i-allow-a-group-to-assume-a-role
  • 信頼関係に接続元のグループを使いたい場合もありますが、
  • 信頼関係に接続元のグループ名は使えないので、接続元のロールを使うようにします。