AWS IAM Identity Center
AWS Organizations と統合されたシングルサインオン (SSO) サービスで、複数の AWS アカウントと業務アプリケーションへのアクセスを一元管理する
概要
AWS IAM Identity Center (旧 AWS SSO) は、複数の AWS アカウントやビジネスアプリケーションへのシングルサインオンを提供するサービスです。アクセス許可セット (Permission Set) により、ユーザーやグループに対して各アカウントでの権限を宣言的に定義でき、Organizations の組織構造と連動した大規模なアクセス管理を実現します。SAML 2.0 や SCIM に対応した外部 IdP (Okta、Azure AD、Google Workspace など) との連携により、既存の ID 基盤を活かしたフェデレーション認証が可能です。
IAM ユーザーの限界と Identity Center が解決するマルチアカウント認証の課題
AWS を本格的に運用すると、環境分離やセキュリティ境界のためにアカウントが増えていきます。各アカウントに IAM ユーザーを作成する方式では、アカウント数 × ユーザー数の認証情報を管理する必要があり、パスワードの定期変更やアクセスキーのローテーションが運用上の大きな負担になります。退職者のアカウント削除漏れはセキュリティインシデントの温床です。IAM Identity Center はこの問題を根本的に解決します。ユーザーは 1 つの認証情報でポータル画面にログインし、割り当てられた AWS アカウントとロールの一覧から選択するだけで、一時的な認証情報を使ってマネジメントコンソールや CLI にアクセスできます。長期的なアクセスキーが不要になるため、認証情報の漏洩リスクが大幅に低下します。Azure AD (Microsoft Entra ID) を既に導入している組織では、SCIM プロビジョニングでユーザーとグループを自動同期し、Azure AD 側でのアカウント無効化が即座に AWS へのアクセス遮断に反映される構成が推奨されます。
アクセス許可セットの設計戦略と最小権限の実践
アクセス許可セット (Permission Set) は、Identity Center の権限管理の中核概念です。1 つのアクセス許可セットは IAM ポリシーの集合であり、ユーザーやグループに対して「どのアカウントで」「どの権限を」持つかを定義します。たとえば「ReadOnlyAccess」という許可セットを全アカウントの監査チームに割り当て、「AdministratorAccess」は本番アカウントの SRE チームだけに限定するといった設計が可能です。AWS マネージドポリシーをそのまま使う方法と、カスタムポリシーを JSON で定義する方法があり、実務では両者を組み合わせます。セッション時間はアクセス許可セットごとに 1 時間から 12 時間の範囲で設定でき、本番環境は短く (1-2 時間)、開発環境は長め (8 時間) にするのが一般的です。AWS セキュリティの関連書籍 (Amazon) では、マルチアカウント環境での権限設計パターンが詳しく解説されています。Permission Boundary と組み合わせることで、許可セットで付与された権限の上限を組織レベルで制御する多層防御も実現できます。
CLI・SDK 連携と開発者体験の最適化
Identity Center は AWS CLI v2 とネイティブに統合されており、aws configure sso コマンドで SSO プロファイルを設定すると、ブラウザ認証を経て一時的な認証情報が自動的に取得されます。~/.aws/config に SSO プロファイルを定義しておけば、--profile オプションで切り替えるだけで複数アカウントを横断的に操作でき、アクセスキーを .env ファイルに書く必要がなくなります。Terraform や CDK などの IaC ツールも SSO プロファイルを認識するため、インフラコードの実行時にも同じ認証フローが使えます。Organizations との統合では、委任管理者 (Delegated Administrator) 機能を使って管理アカウント以外のアカウントから Identity Center を運用することが推奨されています。管理アカウントへのアクセスを最小限に抑えつつ、セキュリティチームが専用アカウントから ID 管理を行う体制が、大規模組織でのベストプラクティスです。ABAC (属性ベースのアクセス制御) にも対応しており、ユーザー属性 (部署、プロジェクト名など) をセッションタグとして伝播させ、リソースタグとの照合で動的にアクセスを制御する高度な設計も可能です。