SAA / ドメイン1 セキュアなアーキテクチャの設計
AWS IAM Identity Center
は、従業員などのワークフォースユーザーが複数の AWS アカウントや対応アプリケーションへアクセスするための基盤です。SAA では、各アカウントに ユーザーを作らず、既存 と連携して人のアクセスを一元管理する場面で選びます。
概要
ユーザーとグループを直接作成できるほか、外部 ID プロバイダーや をアイデンティティソースとして利用できます。ユーザーは AWS アクセスポータルから割り当て済みアカウントやアプリケーションを選択します。
主要技術
①アイデンティティソース
| 選択肢 | 用途 | 判断ポイント |
|---|---|---|
| Identity Center ディレクトリ | AWS 側でユーザーを管理 | 外部 がない場合です。 |
| 外部 IdP | 既存の企業 ID を利用 | SAML と SCIM を使った統合を検討します。 |
| 既存 AD のユーザーを利用 | との連携を検討します。 |
②許可セット ⚠️ 頻出
許可セットは職務ごとの権限テンプレートです。ユーザーまたはグループを AWS アカウントと許可セットへ割り当てると、対象アカウントに対応する ロールが作られ、でアクセスします。
対象アカウントに作られるロールは名前が AWSReservedSSO_ で始まる保護されたロールで、IAM のコンソールから編集できません。権限を変えるときは Identity Center で許可セットを編集し、割り当て済みのアカウントへ再します。
外部 をアイデンティティソースにする場合は、SCIM による自動プロビジョニングを有効にすると、IdP 側でのユーザーやグループの追加・削除が Identity Center へ自動で反映されます。入退社のたびに AWS 側でユーザーを作り直す必要がありません。
③組織インスタンスとアカウントインスタンス
複数 AWS アカウントへのアクセス管理には、 の管理アカウントで有効化する組織インスタンスを使用します。アカウントインスタンスは、限定された AWS マネージドアプリケーションの単一アカウント利用向けです。
④IAMとの使い分け
は主に人のアクセスを管理します。、、 などのワークロードには ロールを使います。アプリケーションの一般利用者を認証する場合は が候補です。
試験対策
| 利用者 | 選ぶ仕組み |
|---|---|
| 従業員が複数 AWS アカウントへアクセス | |
| が へアクセス | ロール |
| Web アプリの顧客を認証 | |
| Windows ワークロードで Microsoft が必要 |
「各 AWS アカウントに IAM ユーザーを複製せず、企業 で一元ログイン」が代表的な問題文です。