アカウントアクセスマネージャー
アカウントアクセスマネージャーとは
アカウントアクセスマネージャーを使用すると、アイデンティティセンターの組織インスタンスのユーザーとグループに AWS アカウント アクセスを割り当てることができます。AWS アカウント の IAM ロールを使用してアクセス権を付与します。アカウントアクセスマネージャーは、IAM アイデンティティセンターのアクセス許可セットと一緒にまたは単独で使用することができます。アカウントアクセスマネージャーと IAM アイデンティティセンターの両方のアクセス許可セットは、ID ソースで同期または IAM アイデンティティセンター で直接作成したユーザーとグループを使用します。
アカウントアクセスマネージャーを使用するメリット
アカウントアクセスマネージャーを使用すると、社内の ID ソースから IAM アイデンティティセンターに同期したユーザーとグループに既存の IAM ロールを割り当てることができます。既存の IAM ロールを使用すると、次のようなユーザーアクセスをもっと柔軟にカスタマイズできます。
-
IAM ロールタグを設定し、属性ベースのアクセス制御 (ABAC) にセッションタグを使用します。
-
IAM ロールの信頼ポリシーを設定し、ロールの引き受けを制限したり、ネットワークベースの条件を実施したり、IdP アサーテッドクレームを信頼ポリシー条件として使用したりします。
-
IAM ロールパスを設定してロールを論理的にグループ化し、管理を簡素化します。詳細については、「Configure IAM role paths to group roles logically and simplify administration
」を参照してください。
次のテーブルでは、3 つのアカウントアクセスオプションを比較します。
| IAM ロール + アカウントアクセスマネージャー | IAM アイデンティティセンターのアクセス許可セット | IAM ロール + IAM フェデレーション (ロールの直接引き受け) | |
|---|---|---|---|
| 次の用途に適しています | アカウントごとに異なるカスタム IAM ロール | 変更不可能な IAM ロールとしてプロビジョニングされた読み取り専用や管理者など、統一されたベースラインの人間アクセス | ワークロードに適している |
| 範囲 – | 複数のアカウント (AWS 組織) | 複数のアカウント (AWS 組織) | アカウントあたり |
| IAM ロールのプロビジョニング | Infrastructure as Code (IaC) または AWS IAM コンソールを使用した手動プロビジョニングが必要 | 自動的にプロビジョニングされる | Infrastructure as Code (IaC) または AWS IAM コンソールと外部 IdP コンソールを使用した手動プロビジョニングが必要 |
| ロール・トゥ・アイデンティティマッピングは以下のところにあります | アカウントアクセスマネージャー | IAM アイデンティティセンター | 外部 IdP |
| エンドユーザーエクスペリエンス | IAM アイデンティティセンターのユーザーとして AWS にサインインした後、ユーザーは AWS アカウントアクセスポータル URL を介して AWS アカウントにアクセスします。 | IAM アイデンティティセンターのユーザーとして AWS にサインインした後、ユーザーは、AWS アクセスポータルを介して AWS アカウントにアクセスします。 | ユーザーは、IdP ポータルのアカウント固有の SAML アプリケーション (アイコン) を介して AWS アカウントにアクセスします。 |
| AWS CLI ユーザーエクスペリエンス |
|
ユーザーは「aws configure sso」と入力して、目的のアカウントとロールのペアを含むプロファイルを設定します。ユーザーは「aws sso login」と入力し、プロファイルを使用して新しいセッションを開始します。アクティブな IAM アイデンティティセンターセッションがない場合、ユーザーはブラウザで認証し、そこからのアクセスを許可します。詳細については、「AWS IAM アイデンティティセンター ユーザーガイド」を参照してください。 | AWS SDK 認証情報プロバイダーを使用したカスタム統合 |
主な機能
- アカウントアクセスポータル
-
アカウントアクセスマネージャーでは、アカウントアクセスポータルがユーザーに提供されます。ユーザーはアカウントアクセスマネージャーを通じて割り当てられた AWS アカウント を表示およびアクセスできます。
- CLI アクセス
-
従業員はブラウザで AWS にサインインした後、aws login コマンドを使用して AWS CLI を通じて AWS アカウント にアクセスできます。
- アカウントアクセス API
-
アカウントアクセスマネージャーには、IAM API とは別に独自の API 名前空間 (
account-access) があります。この名前空間は、AWS CLI と SDK で使用できます。
