翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

へのアクセスを設定する AWS アカウント

IAM Identity Center の組織インスタンスは と統合されています AWS Organizations。これにより、各アカウントへのアクセスを個別に設定 AWS アカウント することなく、複数の にわたるアクセス許可を一元管理できます。

次の表は、考慮すべきアカウントアクセス管理オプションを比較したものです。

AWS アカウント タイプ

AWS アカウント には 2 つのタイプがあります AWS Organizations。

AWS アカウント タイプの詳細については、「 AWS Organizations ユーザーガイド」のAWS Organizations 「用語と概念」を参照してください。

IAM アイデンティティセンターの「委任管理者」としてメンバーアカウントを登録することもできます。このアカウントのユーザーは、ほとんどの IAM Identity Center 管理タスクを実行できます。詳細については、「委任された管理」を参照してください。

次の表は、タスクとアカウントタイプごとに、IAM Identity Center 管理タスクをアカウント内のユーザーが実行できるかどうかを示しています。

* 管理アカウントへのユーザーとグループの割り当てに関する委任管理のベストプラクティスを参照してください。

AWS アカウント アクセスの割り当て

「アクセス許可セット」を使用すると、組織内のユーザーやグループに AWS アカウントへのアクセスを割り当てる方法を簡素化することができます。権限セットは IAM Identity Center に保存され、ユーザーおよびグループが持つこの AWS アカウントに対するアクセスのレベルを定義します。1 つのアクセス許可セットを作成し、組織 AWS アカウント 内の複数の に割り当てることができます。同じユーザに複数の権限セットを割り当てることもできます。

IAM 機能であるアカウントアクセスマネージャーを使用して、組織のアカウントの IAM Identity Center ユーザーとグループに既存の IAM ロールを割り当てることもできます。アカウントアクセスマネージャーを単独で使用することも、アクセス許可セットと一緒に使用することもできます。アカウントアクセスマネージャーを使用すると、カスタム信頼ポリシー、ABAC のロールタグ、設定可能なロールパスなど、IAM ロールの完全な機能セットにアクセスできます。

アクセス権限セットの詳細については、「アクセス許可セットの作成、管理と削除」を参照してください。

エンドユーザーエクスペリエンス

AWS アクセスポータルは、IAM Identity Center ユーザーに、割り当てられたすべての AWS アカウント およびアプリケーションへのシングルサインオンアクセスをウェブポータル経由で提供します。 AWS アクセスポータルはAWS マネジメントコンソール、 AWS リソースを管理するためのサービスコンソールのコレクションである とは異なります。

アクセス許可セットを作成すると、アクセス許可セットに指定した名前が、使用可能なロールとして AWS アクセスポータルに表示されます。ユーザーは AWS アクセスポータルにサインインし、 を選択して AWS アカウントから、ロールを選択します。ロールを選択すると、 を使用して AWS サービスにアクセス AWS マネジメントコンソール したり、一時的な認証情報を取得してプログラムで AWS サービスにアクセスしたりできます。

を開く AWS マネジメントコンソール か、一時的な認証情報を取得してプログラムで にアクセスするには AWS 、ユーザーは次のステップを実行します。

ワークフォースユーザーに提供できるステップバイステップガイドについては、AWS アクセスポータルのセットアップと使用 と AWS CLI AWS SDKs の IAM Identity Center ユーザー認証情報の取得 を参照してください。

アクセスの強制と制限

IAM Identity Center を有効にすると、IAM Identity Center はサービスにリンクされたロールを作成します。サービスコントロールポリシーを使用することもできます。

アクセス権の委任と強制

サービスにリンクされたロールは、 AWS サービスに直接リンクされた IAM ロールの一種です。IAM アイデンティティセンターを有効にすると、IAM アイデンティティセンターは組織 AWS アカウント 内の各 にサービスにリンクされたロールを作成できます。このロールは、IAM Identity Center が組織 AWS アカウント 内の特定の へのシングルサインオンアクセス権を持つユーザーを委任して強制できるようにする事前定義されたアクセス許可を提供します AWS Organizations。このロールを使用するには、アカウントへのアクセス権を持つユーザーを 1 人以上割り当てる必要があります。詳細については、「IAM アイデンティティセンターのサービスリンクロールについて」および「IAM Identity Center のサービスリンクロールの使用」を参照してください。

メンバーアカウントからのアイデンティティストアへのアクセスを制限する

IAM Identity Center で使用される Identity Store サービスの場合、メンバーアカウントにアクセスできるユーザーは、「読み取り」権限を必要とする API アクションを使用できます。メンバーアカウントは、「sso-directory」および「identitystore」ネームスペースの両方に対して「読み取り」アクションにアクセスできます。詳細については、「サービス認可リファレンス」のAWS IAM アイデンティティセンター 「ディレクトリのアクション、リソース、および条件キー」およびAWS 「ID ストアのアクション、リソース、および条件キー」を参照してください。

メンバーアカウントのユーザーが Identity Store で API 操作を使用できないようにするには、「サービスコントロールポリシー (SCP) をアタッチ」できます。SCP は、組織のアクセス許可の管理に使用できる組織ポリシーの一種です。次の SCP の例では、メンバーアカウントのユーザーがアイデンティティストア内のあらゆる API オペレーションにアクセスできないようにします。

        {
            "Sid": "ExplicitlyBlockIdentityStoreAccess",
            "Effect": "Deny",
            "Action": ["identitystore:*", "sso-directory:*"],
            "Resource": "*"
        }

詳細については、「AWS Organizations ユーザーガイド」の「サービスコントロールポリシー (SCP)」を参照してください。