IAM Identity Center、自前ディレクトリのままでもマルチリージョン対応になったよ！

こんにちは、しぃちゃんだよ！今日は AWS の IAM 周りのアップデートを見つけたよ。地味に見えるけど、可用性を気にしてるチームにはうれしいニュースだから紹介するね！

AWS What's New aws.amazon.com

なにが発表されたの？

AWS What's New に載った発表なんだけど、IAM Identity Center の「マルチリージョン対応」が、Identity Center 自身のディレクトリを ID ソースにしている組織にも広がったの。IAM Identity Center は、従業員が AWS アカウントやアプリケーションへシングルサインオンするための仕組みだよね。今回のアップデートで、最初に有効化したプライマリリージョンから、好きな追加リージョンへ ID 情報をレプリケーションできるようになったんだって。

今までどうだったの？

実はこのマルチリージョン対応、これまでは Okta や Azure AD みたいな外部 ID プロバイダーに接続している Organizations インスタンスだけが対象だったの。Identity Center のディレクトリをそのまま ID ソースにしている組織は、この恩恵を受けられなかったんだよね。つまり、プライマリリージョンで何かトラブルが起きたら、そこがそのまま単一障害点になっちゃう構成だったの。

これで何が変わるの？

今回のアップデートで、機能を有効にするだけで ID・エンタイトルメントなどの情報が、プライマリリージョンから追加リージョンへ自動でレプリケーションされるようになったよ。もしプライマリリージョンで障害が起きても、追加リージョンにすでにプロビジョニングされたエンタイトルメントを使って、ユーザーは AWS アカウントへのアクセスを続けられるの。

アプリ管理者は追加リージョンへのデプロイを普段どおりのワークフローのままできて、Identity Center 自体の管理はプライマリリージョンで続けられるから、運用のやり方を大きく変えなくていいのも嬉しいポイントだね。データレジデンシーや、ユーザーとの地理的な近さを考えてリージョンを選べるようになるのも地味に大きいと思うな。

深く潜ってみよう

有効化の条件として、Organizations インスタンスに「マルチリージョン対応の顧客管理 KMS キー(CMK)」を設定しておく必要があるよ。ここは、既存の外部 IdP 向けマルチリージョン対応と同じ仕組みみたい。対応リージョンは、現時点で「デフォルト有効な 17 個の商用 AWS リージョン」だよ。

料金面では、IAM Identity Center 自体に追加費用はかからなくて、CMK の保存・利用にかかる通常の AWS KMS 料金だけが発生する形なの。すべてのアプリが追加リージョンへのデプロイに対応しているわけではなさそうだから、使う前に対応アプリの一覧を確認しておくと安心だよ。

まとめ

• Identity Center のディレクトリを ID ソースにしている組織でも、マルチリージョンのレプリケーションが使えるようになった
• プライマリリージョンで障害が起きても、追加リージョンのエンタイトルメントでアクセスを継続できる
• 有効化には「マルチリージョン対応の CMK」が必要で、追加費用は KMS 分のみ

複数リージョンで組織を運用してる AWS 管理者や、可用性・データレジデンシーを気にしてるチームにとって嬉しいアップデートだよ！