AWS アカウントへのアクセスを計画する

AWS Organizations で IAM アイデンティティセンターを有効にし、IAM アイデンティティセンター内のユーザーを組織ディレクトリに直接追加します。

IAM Identity Center の組織ディレクトリに直接ユーザーを追加する方法については、「Add users」を参照してください。

既存の外部 ID プロバイダーを IAM アイデンティティセンターまたは IAM とフェデレーションします。

外部 ID プロバイダーを IAM Identity Center の組織ディレクトリにフェデレーションする方法については、適切な「Getting Started」のチュートリアルを参照してください。

IAM Identity Center を使用する場合は、IAM ID プロバイダー、IAM ロール、アクセス許可ポリシーが組織内の各 AWS アカウントに作成されます。これらのロールやアクセス許可は、特定のアプリケーションや AWS アカウントにユーザーやグループを割り当てるときに指定する内容と一致します。

詳細については、「ユーザーアクセスを割り当てる」と「アプリケーションへのシングルサインオンアクセスを設定する」を参照してください。

アカウントアクセスマネージャーを使用できます。これは、ユーザーが作成して管理している既存の IAM ロールを IAM Identity Center のユーザーやグループに割り当てることができる IAM 機能です。アカウントアクセスマネージャーを使用することで、完全な IAM ロール機能セットにアクセスできます。アクセス許可セットと一緒または単独で使用することができます。

ID プロバイダーをお使いの AWS アカウント の IAM に直接フェデレーションする場合は、各ユーザーが引き受けるロールを作成する必要があります。ロールには、信頼ポリシーとアクセス許可ポリシーが必要です。信頼ポリシーは、ロールを引き受けることができるユーザーを指定します。アクセス許可ポリシーは、そのロールにどの AWS アクションやリソースへのアクセスを許可 (あるいはアクセスを拒否) するかを指定します。

詳細については、ID プロバイダーと AWS とのフェデレーションを参照してください。