アイデンティティ – AWS IAM Identity Center (AWS Single Sign-On)

2024年11月11日

AWS IAM Identity Center (AWS Single Sign-On): AWS環境の認証・アクセス管理を一元化するシングルサインオンソリューション

AWS IAM Identity Center（旧AWS Single Sign-On）は、AWSアカウントとクラウドアプリケーションへのシングルサインオン（SSO）を実現するサービスです。IAM Identity Centerにより、企業内のAWS環境にアクセスするユーザーと権限を一元管理し、セキュリティ強化と運用効率向上を実現します。

概要

IAM Identity Centerは、複数のAWSアカウントやビジネスアプリケーションへのアクセス権限を集中管理するシングルサインオンサービスです。ユーザーは一度のサインインで必要なAWSリソースや外部アプリケーションへシームレスにアクセスでき、管理者はユーザーとアクセス権限の管理を一元化できます。

主な特徴

シングルサインオン（SSO）での一元的アクセス管理
ユーザーが一度サインインするだけで、AWSアカウントやアプリケーションにアクセスでき、利便性とセキュリティが向上します。ユーザーのIDとアクセス権を集中管理することで、アクセス制御が効率化されます。
ディレクトリサービスと統合
AWS IAM Identity Centerは、Microsoft Active DirectoryやSAML 2.0に基づく外部IDプロバイダーと連携可能で、企業の既存の認証インフラとスムーズに統合できます。
アクセス許可のポリシーベース管理
各ユーザーやグループに対してアクセス許可セットを適用することで、柔軟なアクセス制御が可能です。複数のAWSアカウントにわたるリソースへのアクセス権を一元管理でき、セキュリティポリシーの統一が図れます。

構成要素

ユーザ/グループ
IAM Identity Centerでは、ユーザーおよびグループを定義し、それぞれにアクセス許可を付与します。ユーザーとグループの管理が容易で、AWSリソースや外部アプリケーションへのアクセス権限を集中管理できます。ユーザーとグループのロールベースアクセス制御により、組織全体でのアクセス権限の統一が可能です。
アクセス許可セット
アクセス許可セットは、各ユーザーやグループに付与するアクセス権限を定義するポリシーのセットです。特定のAWSアカウントに対してどのような操作が許可されるかを詳細に設定でき、複数のAWSアカウントやサービスにまたがるアクセス権を簡単に管理できます。

活用シナリオ

複数のAWSアカウントの統合管理
大規模な組織で複数のAWSアカウントが存在する場合、IAM Identity Centerを使用することで、各アカウントに対するユーザーアクセスを一元管理し、運用負荷を削減できます。
外部アプリケーションとAWS環境への統合的なアクセス
IAM Identity CenterはSAML 2.0と連携できるため、外部のビジネスアプリケーション（例：Salesforce、Microsoft 365など）へのシングルサインオンを実現し、AWSアカウントと統合した一元的なアクセス管理を可能にします。
セキュリティとコンプライアンスの強化
IAM Identity Centerは、組織内のセキュリティポリシーに準拠し、アクセス権限の一元管理と多要素認証（MFA）を提供するため、アクセスセキュリティが向上します。

設定手順

IAM Identity Centerの有効化
AWS管理コンソールでIAM Identity Centerを有効化し、初期設定を行います。
ユーザーとグループの追加
IAM Identity Centerにユーザーやグループを追加し、各AWSアカウントおよびアプリケーションに対するアクセス権限を付与します。Active Directoryなどの外部ディレクトリと連携することで、既存のユーザー情報をインポートできます。
アクセス許可セットの作成
必要なアクセス権限を設定したアクセス許可セットを作成し、特定のユーザーやグループに割り当てます。アクセス許可セットには、AWS管理ポリシーやカスタムポリシーを適用可能です。
シングルサインオンの設定
SAML 2.0対応のIDプロバイダーとIAM Identity Centerを連携し、AWSアカウントおよび外部アプリケーションにシームレスなSSOを提供します。
多要素認証（MFA）の有効化
多要素認証（MFA）を有効にし、ユーザーが認証時に追加のセキュリティ要素を利用できるように設定します。これにより、認証の安全性が向上します。

ソリューションアーキテクトとしてのポイント

AWSアカウントの統一管理とセキュリティの強化
IAM Identity Centerを利用することで、複数のAWSアカウントに対するアクセス権を一元管理でき、セキュリティポリシーの統一が可能です。アクセス許可セットを使用して、異なるAWSアカウント間でのアクセス管理を簡素化できます。
既存認証基盤とのシームレスな統合
SAML 2.0やActive Directoryと連携することで、企業の既存認証基盤と統合され、AWSリソースと外部アプリケーションへの一貫したアクセス管理が実現します。外部認証プロバイダーを活用することで、既存のユーザー管理をAWS環境にも適用できます。
柔軟なアクセス許可セットの活用
アクセス許可セットを利用することで、複数のAWSアカウントにまたがるリソースへのアクセスを効率的に管理できます。アクセス権限を一元的にコントロールし、管理の複雑さを減らすことで、運用効率が向上します。
セキュリティとコンプライアンス要件への対応
IAM Identity Centerを通じて、ユーザー認証やアクセス権限の制御が可能となり、MFAを使用して認証の強化を図ることで、コンプライアンス要件に対応しやすくなります。