AWS アカウント へのアクセスを設定する

IAM Identity Center の組織インスタンスは、AWS Organizations と統合されています。これにより、各アカウントへのアクセスを個別に設定することなく、複数の AWS アカウント にわたるアクセス許可を一元管理できます。

次の表は、考慮すべきアカウントアクセス管理オプションを比較したものです。

AWS アカウント タイプ

AWS Organizations には次の 2 種類の AWS アカウント があります。

AWS アカウント タイプの詳細については、「AWS Organizations ユーザーガイド」の「AWS Organizations 用語とコンセプト」を参照してください。

IAM アイデンティティセンターの「委任管理者」としてメンバーアカウントを登録することもできます。このアカウントのユーザーは、ほとんどの IAM Identity Center 管理タスクを実行できます。詳細については、「委任された管理」を参照してください。

次の表は、タスクとアカウントタイプごとに、IAM Identity Center 管理タスクをアカウント内のユーザーが実行できるかどうかを示しています。

* 管理アカウントへのユーザーとグループの割り当てに関する委任管理のベストプラクティスを参照してください。

AWS アカウント アクセスの割り当て

「アクセス許可セット」を使用すると、組織内のユーザーやグループに AWS アカウント へのアクセスを割り当てる方法を簡素化することができます。権限セットは IAM Identity Center に保存され、ユーザーおよびグループが持つこの AWS アカウント に対するアクセスのレベルを定義します。1 つの権限セットを作成して、組織内の複数の AWS アカウント に割り当てることができます。同じユーザに複数の権限セットを割り当てることもできます。

アカウントアクセスマネージャーを使用することもできます。これは、組織のアカウント内の IAM Identity Center のユーザーやグループに既存の IAM ロールを割り当てることができる IAM 機能です。アカウントアクセスマネージャーを単独で使用することも、アクセス許可セットと組み合わせて使用することもできます。アカウントアクセスマネージャーを使用すると、カスタム信頼ポリシー、ABAC のロールタグ、設定可能なロールパスなどの IAM ロールの完全な機能セットにアクセスできます。

アクセス権限セットの詳細については、「アクセス許可セットの作成、管理と削除」を参照してください。

エンドユーザーエクスペリエンス

AWS アクセスポータル は、IAM アイデンティティセンターユーザーに、ウェブポータルを介して割り当てられたすべての AWS アカウント およびアプリケーションへのシングルサインオンアクセスを提供します。AWS アクセスポータルは、AWS リソースを管理するためのサービスコンソールの集合体である AWS マネジメントコンソール とは異なります。

権限セットを作成すると、このセットに指定した名前は、使用可能なロールとして AWS アクセスポータルに表示されます。ユーザーは AWS アクセスポータルにサインインし、AWS アカウント を選択し、次にロールを選択します。ロールを選択した後、AWS マネジメントコンソール を使用して AWS サービスにアクセスするか、一時的な資格情報を取得してプログラム的に AWS サービスにアクセスすることができます。

プログラムで AWS マネジメントコンソール を開くか、一時的な認証情報を取得して AWS にアクセスするには、次の手順を実行する必要があります。

ワークフォースユーザーに提供できるステップバイステップガイドについては、AWS アクセスポータルのセットアップと使用 と AWS CLI または AWS SDK の IAM Identity Center のユーザー認証情報を取得します。 を参照してください。

アクセスの強制と制限

IAM Identity Center を有効にすると、IAM Identity Center はサービスにリンクされたロールを作成します。サービスコントロールポリシーを使用することもできます。

アクセス権の委任と強制

サービスにリンクされたロールは、AWS のサービスに直接リンクされた一意のタイプの IAM ロールです。IAM Identity Center を有効にすると、IAM Identity Center は組織内の各 AWS アカウント にサービスリンクされたロールを作成できます。このロールは、IAM Identity Center が、組織内の特定の AWS アカウント へのシングルサインオンアクセスを持つユーザーを AWS Organizations に委譲し、実施できるようにするための事前定義された権限を提供します。このロールを使用するには、アカウントへのアクセス権を持つユーザーを 1 人以上割り当てる必要があります。詳細については、「IAM アイデンティティセンターのサービスリンクロールについて」および「IAM Identity Center のサービスリンクロールの使用」を参照してください。

メンバーアカウントからのアイデンティティストアへのアクセスを制限する

IAM Identity Center で使用される Identity Store サービスの場合、メンバーアカウントにアクセスできるユーザーは、「読み取り」権限を必要とする API アクションを使用できます。メンバーアカウントは、「sso-directory」および「identitystore」ネームスペースの両方に対して「読み取り」アクションにアクセスできます。詳細については、「Service Authorization Reference」の「Actions, resources, and condition keys for AWS IAM アイデンティティセンター directory」と「Actions, resources, and condition keys for AWS Identity Store」を参照してください。

メンバーアカウントのユーザーが Identity Store で API 操作を使用できないようにするには、「サービスコントロールポリシー (SCP) をアタッチ」できます。SCP は、組織のアクセス許可の管理に使用できる組織ポリシーの一種です。次の SCP の例では、メンバーアカウントのユーザーがアイデンティティストア内のあらゆる API オペレーションにアクセスできないようにします。

        {
            "Sid": "ExplicitlyBlockIdentityStoreAccess",
            "Effect": "Deny",
            "Action": ["identitystore:*", "sso-directory:*"],
            "Resource": "*"
        }

詳細については、「AWS Organizations ユーザーガイド」の「サービスコントロールポリシー (SCP)」を参照してください。