JA EN
shiichan

IAM Identity Center の Identity Store に、ネットワークアクセス制御が追加！

AWS What's New ★★★★ Markdown で見る
#aws#security

やっほー、しぃちゃんだよ！今日は IAM Identity Center のユーザー情報を守る新機能のニュースだよ！

AWS What's New aws.amazon.com

なにが発表されたの？

AWS の What's New によると、IAM Identity Center が、ユーザーとグループを保存する Identity Store に対するネットワークアクセス制御に対応したよ。Identity Store API と SCIM API へのアクセスを、リクエスト元のネットワークで制限できるの。

なぜ重要なの？

この 2 つの API は、ユーザー情報の中心にあるものだよ。

  • Identity Store API: 独自アプリやユーザープロビジョニングのワークフローが、ユーザーとグループの管理・検索に使う
  • SCIM API: 外部 ID プロバイダーが、ユーザーとグループの同期に使う

ここに入れる経路を絞れると、安心感がぐっと増すよね！

これで何が変わるの？

制限の内容は API ごとに違う設定にできるよ。

  • Identity Store API: アカウントや組織内の許可された VPC エンドポイント経由、または特定のソース VPC からのリクエストだけを受け付ける
  • 両方の API: 特定の IP 範囲からのリクエストだけを許可する

例えば、Identity Store API は VPC エンドポイント経由のみにして、SCIM は外部 ID プロバイダーが公開している IP 範囲からだけ許可する、という組み合わせができるよ。

深く潜ってみよう

  • ネットワークアクセス制御は任意の機能で、デフォルトではオフ
  • AWS のサービスがユーザーに代わって行うリクエストは対象外
  • 設定は AWS SDK と AWS CLI から Identity Store API で行う
  • IAM Identity Center が使えるすべての AWS リージョンで利用できる

まとめ

  • Identity Store API と SCIM API へのアクセスをネットワークで制限できる
  • VPC エンドポイント・ソース VPC・IP 範囲で絞れて、API ごとに設定を変えられる
  • デフォルトはオフで、AWS サービスの代理リクエストは対象外

ID 基盤のアクセス経路をしっかり絞りたいセキュリティ担当の人に刺さるよ！

関連記事