AWS IAM Identity Center
AWS Organizations と統合されたシングルサインオン (SSO) サービスで、複数の AWS アカウントと業務アプリケーションへのアクセスを一元管理する
概要
AWS IAM Identity Center (旧 AWS SSO) は、複数の AWS アカウントやビジネスアプリケーションへのシングルサインオンを提供するサービスです。アクセス許可セット (Permission Set) により、ユーザーやグループに対して各アカウントでの権限を宣言的に定義でき、Organizations の組織構造と連動した大規模なアクセス管理を実現します。SAML 2.0 や SCIM に対応した外部 IdP (Okta、Azure AD、Google Workspace など) との連携により、既存の ID 基盤を活かしたフェデレーション認証が可能です。
IAM ユーザーの限界と Identity Center が解決するマルチアカウント認証の課題
AWS を本格的に運用すると、環境分離やセキュリティ境界のためにアカウントが増えていきます。各アカウントに IAM ユーザーを作成する方式では、アカウント数 × ユーザー数の認証情報を管理する必要があり、パスワードの定期変更やアクセスキーのローテーションが運用上の大きな負担になります。退職者のアカウント削除漏れはセキュリティインシデントの温床です。IAM Identity Center はこの問題に対処する仕組みです。ユーザーは 1 つの認証情報でポータル画面にログインし、割り当てられた AWS アカウントとロールの一覧から選択するだけで、一時的な認証情報を使ってマネジメントコンソールや CLI にアクセスできます。長期的なアクセスキーを使わずに済みます。Microsoft Entra ID を ID ソースにする組織では、SCIM プロビジョニングでユーザーとグループを自動同期できます。ユーザーガイドによると、ID ソース側で無効にした利用者の新しいサインインのセッションは作成されなくなりますが、有効なアクセスポータルのセッションは残るため、アクセスの取り消しには許可セットの割り当ての削除などの手順が別に要ります。
アクセス許可セットの設計戦略と最小権限の実践
アクセス許可セット (Permission Set) は、Identity Center の権限管理の中核概念です。1 つのアクセス許可セットは IAM ポリシーの集合であり、ユーザーやグループに対して「どのアカウントで」「どの権限を」持つかを定義します。たとえば「ReadOnlyAccess」という許可セットを全アカウントの監査チームに割り当て、「AdministratorAccess」は本番アカウントの SRE チームだけに限定するといった設計が可能です。許可セットには AWS マネージドポリシー、カスタマーマネージドポリシー、インラインポリシーなどを追加します。セッション時間はアクセス許可セットごとに設定し、ユーザーガイドに記載の既定は 1 時間、最大は 12 時間です (2026 年 10 月時点)。AWS マネージドポリシーかカスタマーマネージドポリシーを、許可セットの権限の境界 (permissions boundary) として割り当てることもできます。
CLI / SDK 連携と開発者体験の最適化
Identity Center は AWS CLI v2 とネイティブに統合されており、aws configure sso コマンドで SSO プロファイルを設定すると、ブラウザー認証を経て一時的な認証情報が自動的に取得されます。~/.aws/config に SSO プロファイルを定義しておけば、--profile オプションで切り替えるだけで複数アカウントを横断的に操作でき、アクセスキーを .env ファイルに書く必要がなくなります。Terraform や CDK などの IaC ツールも SSO プロファイルを認識するため、インフラコードの実行時にも同じ認証フローが使えます。Organizations との統合では、管理アカウントへのアクセスをできるだけ少ない人に限ることをユーザーガイドは推奨しており、委任管理者 (Delegated Administrator) の機能は管理アカウントへのアクセスが要る人を減らすためのものと説明されています。ABAC (属性ベースのアクセス制御) にも対応しており、ユーザー属性 (部署、プロジェクト名など) をセッションタグとして伝播させ、リソースタグとの照合でアクセスを制御します。
参考資料 (AWS 公式)
本ページの一次情報は AWS 公式サイトと公式ドキュメントです。最新の仕様と料金は次の公式ページで確認できます。
本ページと公式ドキュメントの記述が食い違う場合は、公式ドキュメントを正としてください。