AWS IAM Identity Center で実現するシングルサインオン - マルチアカウントアクセス管理
マルチアカウント環境のシングルサインオンを実現し、権限セットで各アカウントへのアクセスレベルを制御する。外部 IdP との統合と ABAC の活用を紹介します。
IAM Identity Center の概要
IAM Identity Center (旧 AWS SSO) はマルチアカウント環境のシングルサインオンとアクセス管理を一元化するサービスです。ユーザーは AWS アクセスポータルにログインし、割り当てられた AWS アカウントとアプリケーションにワンクリックでアクセスします。アカウントごとに IAM ユーザーを作成する必要がなくなります。
権限セットと IdP 統合
権限セットは IAM ポリシーのコレクションで、AdministratorAccess、ReadOnlyAccess などの AWS マネージドポリシーやカスタムポリシーを含めます。権限セットをユーザー/グループとアカウントの組み合わせに割り当てると、そのユーザーがアカウントにアクセスした際に対応する IAM ロールが自動作成されます。外部 IdP との統合では SAML 2.0 で認証を委任し、SCIM でユーザーとグループの自動プロビジョニングを実行します。Okta でユーザーを追加すると、IAM Identity Center にも自動的に反映されます。
ABAC とセッション管理
IAM Identity Center は属性ベースのアクセス制御 (ABAC) をサポートし、ユーザー属性 (部門、役職、プロジェクト) に基づいてアクセス権限を動的に付与します。 IdP から渡される SAML 属性を IAM セッションタグにマッピングし、リソースタグとの一致でアクセスを制御します。セッション時間はアプリケーションごとに設定でき、高セキュリティ環境では短いセッション (1 時間) を、開発環境では長いセッション (12 時間) を設定します。 AWS アクセスポータルからワンクリックでマネジメントコンソールや CLI にアクセスでき、アカウントの切り替えが容易です。 SSO 認証の実践的な知識を深めるには、専門書籍 (Amazon)が役立ちます。
IAM Identity Center の料金
IAM Identity Center は無料で利用できます。ユーザー数、グループ数、SSO セッション数に対する追加料金は発生しません。外部 IdP (Okta、Azure AD、Google Workspace) との SAML/SCIM 統合も無料です。コストは Identity Center が管理する AWS アカウントやアプリケーションの利用料金に依存します。Organizations の全アカウントで IAM Identity Center を有効化し、IAM ユーザーの直接作成を廃止することで、セキュリティと運用効率を同時に向上させます。
まとめ
IAM Identity Center はマルチアカウント環境の SSO とアクセス管理を無料で一元化するサービスです。権限セットで AWS マネージドポリシーとカスタムポリシーを組み合わせたアクセス権限を定義し、外部 IdP との SAML/SCIM 統合でユーザーの一元管理を実現します。ABAC でユーザー属性に基づく動的な権限付与を行い、AWS アクセスポータルからワンクリックでアカウントを切り替えます。