Microsoft AD ディレクトリへの接続

AWS IAM Identity Center を使用すると、Active Directory (AD) の自己管理ディレクトリに接続することも、AWS Directory Service を使用して AWS Managed Microsoft AD 内のディレクトリに接続することもできます。この Microsoft AD ディレクトリでは、管理者が IAM Identity Center コンソールを使用してシングルサインオンアクセスを割り当てるときに、プル元の ID プールを定義します。会社のディレクトリを IAM アイデンティティセンターに接続すると、AD ユーザーまたはグループに AWS アカウント、アプリケーション、またはその両方へのアクセス権を付与することができます。

AWS Directory Service により、AWS クラウドでホストされているスタンドアロンの AWS Managed Microsoft AD ディレクトリを設定して実行できます。また、AWS Directory Service を使用して、AWS リソースを既存のセルフマネージド AD に接続することも可能です。セルフマネージド AD と連動するように AWS Directory Service を設定するには、まず信頼関係を構築して、認証をクラウドに拡張する必要があります。

IAM Identity Center は、AWS Directory Service が提供する接続を使用して、ソース AD インスタンスへのパススルー認証を実行します。AWS Managed Microsoft AD を ID ソースとして使用する場合、IAM Identity Center は AWS Managed Microsoft AD のユーザーや AD トラストで接続されたドメインのユーザーに対して機能します。4 つ以上のドメインにユーザーを配置したい場合、ユーザーは IAM Identity Center へのサインインを実行する際に、ユーザー名として DOMAIN\user 構文を使用する必要があります。

Active Directory を使用する際の考慮事項

Active Directory を ID ソースとして使用する場合、設定は次の前提条件を満たす必要があります。

ユーザーがアクティブディレクトリから来たときのプロビジョニング

IAM Identity Center は、AWS Directory Service によって提供された接続を使用して、Active Directory のソースディレクトリにあるユーザー、グループ、メンバーシップ情報を IAM ID センターアイデンティティストアに同期します。ユーザー認証は Active Directory のソースディレクトリから直接行われるため、パスワード情報は IAM アイデンティティセンターに同期されません。この ID データは、アプリケーションによって使用され、LDAP アクティビティを Active Directory のソースディレクトリに戻すことなく、アプリ内検索、承認、コラボレーション シナリオを容易にします。

上記のプロビジョニングの詳細については、「ユーザーおよびグループのプロビジョニング」を参照してください。