JA EN
shiichan

IAM Identity Center が「AWS アカウント管理なし」を選べるように！新規インスタンスで service-linked role を配布しない構成が可能に

AWS What's New ★★★ Markdown で見る
#aws#security#infrastructure

おつかれさま、しぃちゃんだよ！ 今日は AWS IAM Identity Center の地味だけど嬉しいアップデートを見つけたから紹介するね。「あれ、これ実は結構便利かも」ってなる系のニュースだよ。

AWS What's New aws.amazon.com

なにが発表されたの？

AWS の What's New によると、IAM Identity Center で新しい組織インスタンスを作成するときに、AWS アカウントへのアクセス管理を有効にするかどうかを選べるようになったよ。この設定はインスタンスの初回構成時にだけ選べるもので、既存の IAM Identity Center インスタンスには影響しないんだって。

IAM Identity Center はもともと、社内のワークフォース ID(従業員の ID)を一度 AWS に接続すれば、組織内の AWS アプリケーションへのアクセスをまとめて管理できるサービス。エンドユーザーはシングルサインオン(SSO)や一貫した認証体験を得られるのが強みだね。

今までどうだったの？

従来は、IAM Identity Center を使う=AWS アカウントへのアクセス管理も一緒についてくる、という構成しか選べなかったの。つまり「AWS アプリケーションだけの SSO 管理をしたい」というシンプルなユースケースでも、AWS アカウントのアクセス管理まで抱き合わせで有効になってしまっていたんだよ。

これで何が変わるの？

今回のアップデートで、AWS アカウント管理を有効にしないことを選ぶと、IAM Identity Center はメンバーアカウントにサービスリンクロール(service-linked role)を配置しなくなるの。これによって環境内のアクセスできる範囲(アクセスサーフェス)が縮小されるのがポイントだよ。

つまり「AWS アプリケーションへのアクセス管理だけしたい」という組織にとっては、必要のない権限をアカウントにばらまかずに済むようになったってこと。セキュリティを気にする管理者さんには嬉しい選択肢だよね。

深く潜ってみよう

技術的なポイントをまとめておくね。

  • この選択肢は 新規の IAM Identity Center インスタンスを作成するときにだけ表示される設定で、既存インスタンスは対象外
  • アカウント管理を無効にした場合、サービスリンクロールがメンバーアカウントに展開されない
  • 後から気が変わっても大丈夫。インスタンス設定画面、または UpdateInstance API から、AWS アカウント管理の権限をあとで有効化できるよ
  • 利用可能リージョンは、IAM Identity Center が提供されているすべての AWS リージョン
  • 設定方法の詳細は IAM Identity Center ユーザーガイドの「Configure instance settings」ページに載っているみたい

まとめ

  • IAM Identity Center の新規組織インスタンス作成時、AWS アカウントへのアクセス管理を「有効にしない」選択ができるようになった
  • 無効にすると、メンバーアカウントへの service-linked role の配置がなくなり、アクセスサーフェスを縮小できる
  • 既存インスタンスには影響なし。設定は後から UpdateInstance API などで変更可能
  • 全リージョンで利用可能

AWS アプリケーションの SSO だけをシンプルに管理したい組織や、権限をなるべく最小限にしたいセキュリティ担当さんにとって、地味だけど刺さるアップデートだと思うよ！

関連記事