AWS IAM Identity Center
複数の AWS アカウントと SaaS アプリケーションへのシングルサインオンを提供するサービス
何ができるか
AWS IAM Identity Center (旧 AWS SSO) は、複数の AWS アカウントやビジネスアプリケーションへのシングルサインオン (SSO) を提供するサービスです。1 回のログインで複数のアカウントやアプリケーションにアクセスでき、ユーザーとアクセス権限を一元管理できます。
どのような場面で使うか
マルチアカウント環境での開発者のアクセス管理、SaaS アプリケーション (Salesforce、Microsoft 365 など) への SSO、外部 IdP (Okta、Azure AD) との連携、一時的な認証情報の発行に利用されます。 この分野について体系的に学びたい方は、関連書籍 (Amazon) も参考になります。
身近な例え
社員証 1 枚で全フロアに入れるオフィスビルに例えられます。各フロア (アカウント) ごとに別の鍵を持つ代わりに、社員証 (SSO) 1 つで許可されたフロアすべてにアクセスできます。
IAM Identity Center とは
この記事は約 2 分で読めます。 AWS IAM Identity Center は、AWS のマルチアカウント環境におけるアクセス管理の中核サービスです。ユーザーポータルから割り当てられた AWS アカウントやアプリケーションに SSO でアクセスできます。AWS CLI v2 との統合により、コマンドラインからも SSO 認証が利用可能です。
許可セットと ID ソース
許可セット (Permission Set) は、ユーザーに付与する IAM ポリシーのテンプレートです。許可セットをユーザーまたはグループに割り当て、対象のアカウントを指定します。ID ソースは Identity Center の内蔵ディレクトリ、Active Directory、外部 IdP (SAML 2.0) から選択できます。
はじめかた
IAM Identity Center コンソールで有効化し、ID ソースを選択します。ユーザーとグループを作成し、許可セットを定義して AWS アカウントに割り当てます。ユーザーはポータル URL からログインし、割り当てられたアカウントのマネジメントコンソールや CLI にアクセスできます。
Azure・オンプレミスとの比較
AWS の優位点
- AWS Organizations と統合し、マルチアカウント環境のアクセス管理を一元化。IAM Identity Center 自体は無料
- 許可セットで IAM ポリシーをテンプレート化し、複数アカウントへの一括適用が可能
- AWS CLI v2 との統合で、コマンドラインからも SSO 認証を利用でき、長期的な IAM アクセスキーが不要
注意点
- IAM Identity Center は AWS Organizations の有効化が前提。単一アカウントでは利用できない
- IAM Identity Center 自体は無料。外部 IdP との連携にはその IdP の料金が別途発生する場合がある
さらに詳しく知りたい方は、関連書籍 (Amazon) で理解を深められます。
