翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

AWS IAM Identity Center

AWS IAM Identity Center は、増え続けるワークフォース ID を作成または接続し、AWS 環境全体でそれらの ID への安全なアクセスを一元管理するための単一の場所を提供します。IAM Identity Center は AWS Organizations と組み合わせて有効にできます。これは、Word 組織および AWS マネージドアプリケーション内の複数の AWS アカウントへの一元AWS管理されたアクセスを提供する推奨アプローチです。

Amazon Q、Amazon Q Developer、Amazon SageMaker Studio、Amazon QuickSight などの AWS マネージドサービスは、IAM Identity Center を統合して認証と認可に使用します。ID ソースを IAM Identity Center に 1 回だけ接続し、オンボーディングされたすべての AWS 管理アプリケーションへのワークフォースアクセスを管理します。Microsoft Entra ID、Okta、Google Workspace、Microsoft Active Directory などの既存の社内ディレクトリの ID は、ユーザーまたはグループを検索して IAM マネージドサービスへのシングルサインオンアクセスを許可する前に、AWS Identity Center にプロビジョニングする必要があります。IAM Identity Center は、アプリケーション固有のユーザー中心のエクスペリエンスも強化します。例えば、Amazon Q のユーザーは、Amazon Q 統合サービスから別のサービスに移行すると、継続性を体験します。

信頼できる ID の伝播は、AWS サービス内のデータへのアクセスを必要とするクエリツールやビジネスインテリジェンス (BI) アプリケーションのユーザーに、合理化されたシングルサインオンエクスペリエンスを提供します。データアクセス管理はユーザーの ID に基づいているため、管理者はユーザーの既存のユーザーおよびグループのメンバーシップに基づいてアクセスを許可できます。信頼できる ID の伝播は、OAuth 2.0 認可フレームワークに基づいて構築されており、アプリケーションはパスワードを共有せずにユーザーデータに安全にアクセスして共有できます。 

Amazon Redshift クエリエディタ v2、Amazon EMR、Amazon QuickSight など、信頼できる ID の伝播と統合するAWSマネージドサービスは、IAM Identity Center から直接トークンを取得します。IAM Identity Center には、アプリケーションが外部の OAuth 2.0 認可サーバーから ID トークンとアクセストークンを交換するオプションも用意されています。AWS サービスやその他のイベントへのユーザーアクセスは、サービス固有のログや in CloudTrail イベントに記録されるため、監査人はユーザーがどのようなアクションを実行し、どのリソースにアクセスしたかを把握できます。

信頼できる ID 伝達を使用するには、IAM Identity Center を有効にし、ユーザーとグループをプロビジョニングする必要があります。IAM Identity Center の組織インスタンスを使用することをお勧めします。

詳細については、信頼できる ID の伝播を使用するための前提条件と考慮事項、および ID の伝播を開始できるアプリケーションでサポートされている特定のユースケースを参照してください。

AWS アクセスポータルは、認証されたユーザーに AWS アカウントとクラウドアプリケーションへのシングルサインオンアクセスを提供します。AWS アクセスポータルから生成された認証情報を使用して、AWS アカウントのリソースへの Word CLI Word アクセスを設定することもできます。AWS SDK AWSこれにより、プログラムによるアクセスに長期的な認証情報を使用する必要がなくなり、認証情報が侵害される可能性が大幅に低下し、セキュリティ体制が向上します。

IAM Identity Center APIs を使用して、アカウントとアプリケーションへのアクセスの管理を自動化することもできます。

IAM Identity Center は、AWS Identity Center でユーザーが実行したアクション CloudTrailを記録する IAM と統合されています。 CloudTrail は、API コールなどの CreateUserAPI イベントを記録します。 これは、ユーザーがクロスドメインアイデンティティ管理 (IAM) プロトコルを使用して外部 IdP から SCIM アイデンティティセンターに手動で作成、プロビジョニング、または同期されたときに記録されます。 CloudTrail に記録されるすべてのイベントまたはログエントリには、リクエストを生成したユーザーに関する情報が含まれます。この機能は、さらなる調査が必要な予期しない変更やアクティビティを特定するのに役立ちます。 CloudTrail でサポートされている IAM Identity Center オペレーションの完全なリストについては、IAM Identity Center のドキュメントを参照してください。

既存の ID ソースを IAM Identity Center に接続する

ID フェデレーションは、アクセス管理システムを構築するための一般的なアプローチです。アクセス管理システムは、中央 IdP を使用してユーザー認証を管理し、サービスプロバイダー (SPs) として機能する複数のアプリケーションやサービスへのアクセスを管理します。IAM Identity Center を使用すると、Okta、Microsoft Entra ID、Ping、Google Workspace、 JumpCloud、 OneLogin、オンプレミス Active Directory、SAML 2.0 互換の ID ソースなど、既存の企業 ID ソースから ID を柔軟に導入できます。

既存の ID ソースを IAM Identity Center に接続することをお勧めします。これにより、ワークフォースにシングルサインオンアクセスが提供され、AWS サービス間で一貫したエクスペリエンスが提供されるためです。また、複数のソースを維持するのではなく、1 つの場所から ID を管理することもベストプラクティスです。IAM Identity Center は、SAML Identity Center が external IdPs.IAM Identity Center からユーザーを認証できるようにするオープン ID 標準である Word 2.0 との ID フェデレーションをサポートしています。IAM Identity Center は、SCIM v2.0 標準のサポートも提供します。この標準により、現在 IdPs 経由のみのユーザーのプロビジョニングをサポートしている Google Workspace と Word を除き、サポートされている外部 Word アイデンティティセンター間でユーザーとグループの自動プロビジョニング PingOne、更新、プロビジョニング解除が可能になりますSCIM。 IAM

他の SAML 2.0 ベースの external IdPs が特定の標準や考慮事項に準拠している場合は、IAM Identity Center に接続することもできます。

既存の Microsoft Active Directory を IAM Identity Center に接続することもできます。このオプションを使用すると、AWS Directory Service を使用して、既存の Microsoft Active Directory のユーザー、グループ、およびグループメンバーシップを同期できます。このオプションは、オンプレミスにあるセルフマネージド Active Directory または AWS Managed Microsoft AD のディレクトリのいずれかで、既に ID を管理している大企業に適しています。AWS Managed Microsoft AD のディレクトリを IAM Identity Center に接続できます。IAM Identity Center が認証のためにドメインを信頼できるようにする双方向の信頼関係を確立することで、Active Directory のセルフマネージドディレクトリを Word Identity Center に接続することもできます。 IAMもう 1 つの方法は、AD Connector を使用することです。AD Connector は、クラウドに情報をキャッシュすることなく、ディレクトリリクエストをセルフマネージド Active Directory にリダイレクトできるディレクトリゲートウェイです。次の図は、このオプションを示しています。

利点

AWS での ID の作成と管理

IAM Identity Center は外部 IdP で使用することをお勧めします。ただし、既存の IdP がない場合は、サービスのデフォルトの ID ソースである IAM Identity Center ディレクトリでユーザーとグループを作成および管理できます。このオプションは次の図に示されています。ワークフォースユーザーの各 IAM アカウントで AWS ユーザーまたはロールを作成するよりも優先されます。詳細については、IAM Identity Center のドキュメントを参照してください。 

IAM Identity Center の一般的な設計上の考慮事項