カスタマーマネージドアプリケーションで AWS アカウントアクセスを有効にする

IAM Identity Center でカスタマーマネージドアプリケーションの AWS アカウントアクセスを有効にするには、信頼できるトークン発行者を設定します。信頼できるトークン発行者とは、認証されたユーザーに代わって署名付きトークンを発行する OAuth 2.0 認可サーバーです。IAM Identity Center は、これらのトークンを認証情報と交換して、それらのユーザーに割り当てられた AWS アカウントとロールにアプリケーションからアクセスできるようにします。信頼できるトークン発行者は、AWS マネージドアプリケーションへのアクセスにも使用できます。詳細については、「信頼できるトークン発行者によるアプリケーションの使用」を参照してください。

仕組み

管理者がカスタマーマネージドアプリケーションの sso:account:access スコープを有効にすると、次のワークフローが発生します。

アプリケーションのセットアップ時に更新トークン付与を有効にした場合、CreateTokenWithIAM はアクセストークンと共に更新トークンも返します。アプリケーションは、この更新トークンを使用して、JWT ベアラートークンの交換手順全体を繰り返すことなく、新しいアクセストークンを取得できます。アクセストークンを更新するには、refresh_token 付与タイプで CreateTokenWithIAM を呼び出します。

前提条件

カスタマーマネージドアプリケーションのアカウントアクセスを有効にする前に、以下が必要です。

アカウントアクセスを有効にする

アカウントアクセスを有効にすると、アプリケーションから Identity ポータル API オペレーションを呼び出して、アカウントとロールをリストし、認証ユーザーがアクセスを許可されているロールの一時的な AWS 認証情報を取得できます。

プログラム的なアクセス

PutApplicationAccessScope API を使用すると、カスタマーマネージドアプリケーションの sso:account:access スコープをプログラムで有効にできます。組織の管理アカウントまたは委任管理者アカウントから API を呼び出す必要があります。

AWS CLI

aws sso-admin put-application-access-scope \
  --application-arn arn:aws:sso::123456789012:application/ssoins-1234567890abcdef/apl-1234567890abcdef \
  --scope "sso:account:access"

API リクエスト:

{
  "ApplicationArn": "arn:aws:sso::123456789012:application/ssoins-1234567890abcdef/apl-1234567890abcdef",
  "Scope": "sso:account:access"
}

アカウントアクセスを無効にするには、同じアプリケーション ARN とスコープ値で DeleteApplicationAccessScope API を使用します。

詳細については、「IAM Identity Center API リファレンス」の「PutApplicationAccessScope」と「DeleteApplicationAccessScope」を参照してください。

セキュリティのベストプラクティス

関連情報