IAM Identity Centerとは？SSOと複数AWSアカウントのアクセス管理を初心者向けに解説

前の記事では、 Amazon Cognitoについて学びました。

Cognitoは、Webサイトやモバイルアプリを利用する エンドユーザーの認証に利用できるサービスでした。

では、企業で働く社員が複数のAWSアカウントを利用する場合は どのようにアクセスを管理すればよいのでしょうか？

AWSアカウントが増えるたびにIAMユーザーを個別管理すると、 ユーザーや権限の管理が複雑になっていきます。

そこで利用できるのが、 AWS IAM Identity Centerです。

IAM Identity Centerとは？

AWS IAM Identity Centerは、 企業などの組織で働くユーザーの AWSアカウントやアプリケーションへのアクセスを一元管理 するためのサービスです。

以前は AWS Single Sign-On（AWS SSO） という名称でした。

名前は変わりましたが、 複数のAWSアカウントなどへのアクセスを まとめて管理できるという考え方が重要です。

なぜIAM Identity Centerが必要なの？

1つのAWSアカウントしか利用していない場合は、 複数アカウント管理の問題をイメージしにくいかもしれません。

しかし企業では、 用途ごとにAWSアカウントを分けることがあります。

ここに複数の社員がアクセスするとします。

各AWSアカウントへ社員ごとのIAMユーザーを個別に作成すると、 AWSアカウントが増えるほど管理対象も増えていきます。

社員が退職した場合などには、 複数のAWSアカウントに存在するユーザーを確認する必要もあります。

そこで、 ユーザーとAWSアカウントへのアクセスを 中央で管理する考え方が重要になります。

IAM Identity Centerならアクセスを一元管理できる

IAM Identity Centerを利用すると、 どのユーザーが、どのAWSアカウントへ、どの権限でアクセスできるか を中央で管理できます。

SSO（シングルサインオン）とは？

IAM Identity Centerを理解するときに覚えておきたいのが SSO（Single Sign-On）です。

SSOとは、 一度の認証によって複数のサービスやシステムへアクセスしやすくする仕組み です。

ユーザーはIAM Identity Centerの AWSアクセスポータルへサインインすると、 自分に割り当てられているAWSアカウントやアプリケーションを確認できます。

AWSアクセスポータルからAWSアカウントへアクセスする

IAM Identity Centerを利用するユーザーは、 AWSアクセスポータルから 割り当てられたAWSアカウントへアクセスできます。

ただし、 表示されているAWSアカウントで 何でも操作できるわけではありません。

そこで重要になるのが Permission Set（アクセス許可セット） です。

Permission Set（アクセス許可セット）とは？

Permission Setは、 IAM Identity Centerで ユーザーやグループがAWSアカウントで利用できる権限を定義する仕組み です。

たとえば、 次のようなアクセス許可セットを用意できます。

そして、 ユーザー・AWSアカウント・Permission Setを 組み合わせてアクセスを割り当てます。

Permission SetとIAMポリシーは何が違う？

以前の記事で学習した IAMポリシーとの違いも整理しておきましょう。

Permission Setには、 AWS管理ポリシーやカスタマー管理ポリシー、 インラインポリシーなどを利用できます。

Permission Setを割り当てるとIAMロールが作られる

Permission Setは、 単にIAM Identity Centerの画面上だけで動作する仕組みではありません。

ユーザーやグループにAWSアカウントへのアクセスを割り当てると、 IAM Identity Centerによって対象AWSアカウント側に 対応するIAMロールが作成・管理されます。

ここで、以前学習した IAMロールの知識につながります。

ユーザーはIAM Identity Center経由で 割り当てられたロールを利用してAWSへアクセスします。

ユーザー情報はどこで管理する？

IAM Identity Centerでは、 ユーザー情報をIAM Identity Center内で管理することもできます。

一方、すでに企業で利用している 外部のIDプロバイダーやディレクトリ と連携することもできます。

つまり、 すでに企業で利用しているユーザー管理の仕組みを AWSアクセスにも活用できます。

IAM・Cognito・IAM Identity Centerの違い

ここまで学習した認証・認可関連のサービスを 一度整理してみましょう。

理解度チェック：どのサービスを使う？

IAM・Cognito・IAM Identity Centerの どれを使うのが適しているか考えてみましょう。

初心者が間違えやすいポイント

① IAM Identity CenterとIAMは同じもの

名前にはどちらも「IAM」が入っていますが、 役割は同じではありません。

IAMはAWSリソースへのアクセス制御の基盤となるサービスで、 IAM Identity Centerは ワークフォースユーザーのAWSアカウントやアプリへのアクセスを一元管理 するために利用します。

② Permission SetはIAMポリシーとまったく同じ

Permission Setは、 IAMポリシーなどを利用して AWSアカウントで利用する権限を定義する アクセス権限のテンプレートです。

③ IAM Identity CenterはCognitoの代わりになる

CognitoとIAM Identity Centerでは、 主な対象となるユーザーが異なります。

確認問題：IAM Identity Centerを理解できたか確認しよう

まとめ

次はAWSで必要になるネットワークの基礎を学ぼう

ここまでAWSの基本やIAM関連の仕組みについて学んできました。

ここからVPCやEC2など、 AWSの具体的なサービスを理解していくためには ネットワークの基礎知識が重要になります。

たとえばAWSでは、 VPC・サブネット・ルートテーブル・Route 53など、 ネットワークの知識を前提としたサービスや機能が数多く登場します。

次の記事では、 AWSを本格的に学習する前に知っておきたい TCP/IP・DNS・ルーティングの基礎を整理します。