AWS IAM Identity Center 基本
複数の AWS アカウントやビジネスアプリケーションへのシングルサインオンを提供するサービス
何ができるか
AWS IAM Identity Center (旧 AWS SSO) は、複数の AWS アカウントやサードパーティのビジネスアプリケーションに対するシングルサインオン (SSO) アクセスを一元管理するサービスです。ユーザーは 1 回のログインで、割り当てられたすべての AWS アカウントやアプリケーションにアクセスできます。Active Directory や外部 IdP (Okta、Azure AD など) との連携にも対応しています。
どのような場面で使うか
AWS Organizations で管理する複数アカウントへの統一的なアクセス管理、社内の Active Directory と AWS 環境の ID 連携、開発者ごとに異なる AWS アカウントへのアクセス権限の割り当て、Salesforce や Microsoft 365 などのビジネスアプリケーションとの SSO 統合などに活用されています。
身近な例え
会社のマスターキーカードに例えるとわかりやすいでしょう。1 枚のカード (1 回のログイン) で、自分に許可されたすべてのオフィスや会議室 (AWS アカウントやアプリケーション) に入れます。管理者は中央のシステムで誰がどの部屋に入れるかを一括管理できます。
AWS IAM Identity Center とは
AWS IAM Identity Center は、AWS 環境における ID とアクセスの一元管理を実現するサービスです。AWS Organizations と統合して動作し、組織内の複数の AWS アカウントに対するユーザーアクセスを中央で管理します。従来は各アカウントに IAM ユーザーを個別に作成する必要がありましたが、Identity Center を使えばユーザーを 1 か所で管理し、必要なアカウントへのアクセス権限を割り当てるだけで済みます。
アクセス許可セットとアカウント割り当て
Identity Center では「アクセス許可セット」を作成して、ユーザーに付与する権限を定義します。アクセス許可セットは IAM ポリシーをベースにしており、AWS 管理ポリシー (AdministratorAccess、ReadOnlyAccess など) やカスタムポリシーを組み合わせて構成します。作成したアクセス許可セットをユーザーまたはグループと AWS アカウントの組み合わせに割り当てることで、「誰が」「どのアカウントで」「何ができるか」を制御します。
ID ソースと外部 IdP 連携
Identity Center のユーザー管理には 3 つの方法があります。Identity Center 自体の内蔵ディレクトリを使う方法、AWS Managed Microsoft AD や AD Connector 経由で既存の Active Directory と連携する方法、SAML 2.0 対応の外部 IdP (Okta、Azure AD、Google Workspace など) と連携する方法です。外部 IdP と連携する場合、SCIM プロトコルによるユーザー・グループの自動プロビジョニングにも対応しており、IdP 側でのユーザー追加・削除が自動的に Identity Center に反映されます。
注意点
- Identity Center 自体は無料で利用できる。追加料金は発生しない
- AWS Organizations が有効化されていることが前提。単独の AWS アカウントでも利用可能だが、マルチアカウント環境で最大の効果を発揮する
- 旧名称は AWS SSO であり、API やドキュメントの一部に旧名称が残っている場合がある。CLI のサービス名も sso のまま
この分野について体系的に学びたい方は、関連書籍 (Amazon) も参考になります。
