IAM Identity Center を追加のリージョンにレプリケートする

マルチリージョンのカスタマーマネージド KMS キーを使用して IAM Identity Center を設定するなど、環境が前提条件を満たしている場合は、以下の手順を実行して IAM Identity Center インスタンスを追加のリージョンにレプリケートします。プライマリリージョンは、これらの手順の実行中および実行後も正常に動作し続けます。

手順 1: 追加のリージョンにレプリカキーを作成する

IAM Identity Center をリージョンにレプリケートする前に、まずそのリージョンでカスタマーマネージド KMS キーのレプリカキーを作成し、IAM Identity Center のオペレーションに必要なアクセス許可をレプリカキーに設定する必要があります。マルチリージョンレプリカキーの作成手順については、「マルチリージョンレプリカキーの作成」を参照してください。

KMS キーアクセス許可の推奨アプローチは、プライマリキーからキーポリシーをコピーすることです。これにより、プライマリリージョンの IAM Identity Center に対して既に確立されているものと同じアクセス許可が付与されます。または、リージョン固有のキーポリシーを定義することもできますが、このアプローチではリージョン間のアクセス許可管理が複雑になり、将来的にポリシーを更新する際に追加の調整が必要になる場合があります。

手順 2: IAM Identity Center にリージョンを追加する

IAM Identity Center にリージョンを追加すると、そのリージョンへの IAM Identity Center データの自動レプリケーションがトリガーされます。レプリケーションは非同期で、結果整合性を持ちます。以下のタブでは、AWS マネジメントコンソールおよび AWS CLI でこれを行う手順について説明します。

Console

リージョンを追加するには

1. IAM Identity Center コンソールを開きます。

2. ナビゲーションペインで [設定] を選択します。

3. [管理] タブを選択します。

4. [IAM Identity Center のリージョン] セクションで、[リージョンを追加] を選択します。

5. [レプリケーション用に利用可能な AWS リージョン] セクションで、任意の AWS リージョンを選択します。リージョンがリストに表示されない場合、KMS キーがそのリージョンにレプリケートされていないため、レプリケーションには使用できません。詳細については、「AWS IAM アイデンティティセンター でのカスタマーマネージド KMS キーの実装」を参照してください。

6. [リージョンの追加] を選択します。

7. [IAM Identity Center のリージョン] セクションで、リージョンのステータスをモニタリングします。[更新] ボタン (円形の矢印) を使用して、必要に応じて最新のリージョンのステータスを確認します。レプリケーションが完了したら、手順 3 に進みます。

AWS CLI

リージョンを追加するには

aws sso-admin add-region \
    --instance-arn arn:aws:sso:::instance/ssoins-1234567890abcdef \
    --region-name eu-west-1

現在のリージョンのステータスを確認するには

aws sso-admin describe-region \
    --instance-arn arn:aws:sso:::instance/ssoins-1234567890abcdef \
    --region-name eu-west-1

リージョンのステータスが ACTIVE の場合、手順 3 に進むことができます。

追加のリージョンへの初回レプリケーションにかかる時間は、IAM Identity Center インスタンスのデータ量によって異なります。後続の増分変更は、ほとんどの場合、数秒以内にレプリケートされます。

手順 3 (外部 ID プロバイダーのみ): 外部 IdP 設定を更新する

この手順は、外部 ID プロバイダー (IdP) を使用する場合にのみ適用されます。Identity Center ディレクトリを ID ソースとして使用する場合は、手順 4 に進みます。

以下の手順については、「IAM アイデンティティセンターの ID ソースに関するチュートリアル」の外部 IdP のチュートリアルに従ってください。

手順 3.a: アサーションコンシューマーサービス (ACS) URL を外部 IdP に追加する

この手順により、追加の各リージョンへの直接サインインが有効になります。また、それらのリージョンにデプロイされた AWS マネージドアプリケーションへのサインインを有効にし、それらのリージョンを経由して AWS アカウントにアクセスするために必要です。ACS URL の確認方法については、「プライマリおよび追加の AWS リージョンの ACS エンドポイント」を参照してください。

手順 3.b (オプション): AWS アクセスポータルを外部 IdP ポータルで使用できるようにする

追加のリージョンの AWS アクセスポータルを、外部 IdP ポータルのブックマークアプリとして利用できるようにします。ブックマークアプリには、目的の宛先へのリンク (URL) のみが含まれており、ブラウザのブックマークに似ています。AWS アクセスポータル URL をコンソールで確認するには、[IAM Identity Center のリージョン] セクションの [すべての AWS アクセスポータル URL を表示] を選択します。詳細については、「プライマリおよび追加の AWS リージョンの AWS アクセスポータルエンドポイント」を参照してください。

IAM Identity Center は、追加の各リージョンで IdP 開始 SAML SSO をサポートしていますが、外部 IdP は通常、単一の ACS URL でのみこれをサポートします。継続性を確保するために、IdP 開始 SAML SSO にはプライマリリージョンの ACS URL を引き続き使用し、追加のリージョンへのアクセスにはブックマークアプリとブラウザのブックマークを利用することをお勧めします。

手順 4: ファイアウォールとゲートウェイの許可リストを確認する

ファイアウォールまたはゲートウェイのドメイン許可リストを確認し、「ドキュメントに記載された許可リスト」に基づいて更新します。

ステップ 5: ユーザーに情報を提供する

追加のリージョンの AWS アクセスポータル URL や追加のリージョンの使用方法など、新しいセットアップに関する情報をユーザーに提供します。関連する詳細については、以下のセクションを参照してください。

最初のリージョンの追加後のリージョン変更

追加のリージョンを追加または削除できます。IAM Identity Center インスタンス全体を削除しない限り、プライマリリージョンを削除することはできません。リージョンの削除の詳細については、「IAM Identity Center からリージョンを削除する」を参照してください。

追加リージョンをプライマリに昇格させたり、プライマリリージョンを追加リージョンに降格させたりすることはできません。

レプリケーション対象のデータ

IAM Identity Center は、以下のデータをレプリケートします。

考慮事項: