本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

SEC02-BP04 依賴集中式身分提供者

人力身分 (員工和承包商) 可仰賴身分供應商來集中管理身分。由於您是從單一位置建立、指派、管理、撤銷和稽核存取權，因此這樣一來可以更好管理多個應用程式和系統中的存取權。

預期結果：您擁有集中式身分提供者，可讓您集中管理人力資源使用者、身分驗證政策 （例如需要多重要素身分驗證 （MFA）），以及系統和應用程式的授權 （例如根據使用者的群組成員資格或屬性指派存取權）。您的員工使用者登入集中身分提供者並聯合 (單一登入) 至內部和外部應用程式，如此一來，使用者就不需記住多個憑證。您的身分提供者與您的人力資源 (HR) 系統整合，因此人事變更會自動同步至您的身分提供者。例如，如果有人離開您的組織，您可以自動撤銷對聯合應用程式和系統的存取權 （包括 AWS）。您已在身分提供者中啟用詳細稽核日誌記錄，並監控這些日誌以找出不尋常的使用者行為。

常見的反模式：

建立此最佳實務的優勢：透過使用集中式身分提供者，您就可以從單一位置管理員工使用者身分和政策，而且能夠將應用程式存取權指派給使用者和群組，並監控使用者登入活動。透過與您的人力資源 (HR) 系統整合，使用者變更職務時，這些變更就會同步至身分提供者，並自動更新指派的應用程式和許可。使用者離開您的組織時，系統會自動停用他們在身分提供者中的身分，並撤銷他們對聯合應用程式和系統的存取權。

未建立此最佳實務時的風險暴露等級：高

實作指引

員工使用者存取 AWS的指引

組織中的員工和承包商這類人力使用者可能需要 AWS 使用 AWS Management Console 或 AWS Command Line Interface （AWS CLI） 來執行其工作職能。您可以透過從您的集中式身分提供者聯合到 AWS 兩個層級，將 AWS 存取權授予您的人力資源使用者：將聯合導向至組織中的每個帳戶， AWS 帳戶 或聯合至AWS 組織中的多個帳戶。

遵循上述指引之後，您的人力資源使用者在管理 上的工作負載時，不再需要將IAM使用者和群組用於一般操作 AWS。反之，您的使用者和群組是在 外部進行管理， AWS 使用者能夠以聯合身分 的形式存取 AWS 資源。聯合身分會使用您的集中式身分提供者所定義的群組。您應該識別並移除不再需要的IAM群組、IAM使用者和長期使用者憑證 （密碼和存取金鑰） AWS 帳戶。您可以使用憑證報告 找到未使用的IAM憑證、刪除對應的IAM使用者，以及刪除IAM群組。您可以將 Service Control 政策 （SCP） 套用至您的組織，以協助防止建立新的IAM使用者和群組，強制執行存取 AWS 是透過聯合身分。

應用程式使用者的指引

您可以使用 Amazon Cognito 作為您的集中式身分提供者來管理應用程式 (例如行動應用程式) 使用者的身分。Amazon Cognito 可為您的 Web 和行動應用程式啟用身分驗證、授權和使用者管理功能。Amazon Cognito 提供了可擴展至數百萬使用者的身分存放區、可支援社交與企業聯合身分，並且提供進階安全功能來協助保護您的使用者和業務。您可以將自訂 Web 或行動應用程式與 Amazon Cognito 整合，在幾分鐘內就能在應用程式中新增使用者身分驗證和存取控制。Amazon Cognito 以開放式身分標準為基礎，例如 SAML和 Open ID Connect （OIDC），支援各種合規法規，並與前端和後端開發資源整合。

實作步驟

員工使用者存取 AWS的步驟

應用程式使用者的步驟

資源

相關 Well-Architected 的最佳實務：

相關文件：

相關影片：

相關範例：

相關工具：