背景
IAM Identity Centerというのは一度の認証で複数のアカウントにログインができるということは理解していたが、漠然としていたためハンズオンを通じてもう少し自分なりに理解しようと感じました。学んだことを私なりに記事にしました。
IAM Identity Centerとは
IAM Identity CenterとはAWS Organizationsで管理されている複数のアカウントがある環境下で各アカウントへのログインや権限の切り替えを簡単にすることができる機能を提供します。
AWS Single Sign-onの後継サービスらしいです。
図で説明
許可セットは各アカウントに対するアクセス権限をセットにしたものです。
例えば、「Account 1」と「Account 2」に対する「AdministratorAccess」や「ReadOnlyAccess」という権限のようなものをまとめたようなものです。私としてはIAMロールがまとめられていると認識しています。
実践してみた
ハンズオンを通して理解したかったので実際に試してみました。
※アカウント名、ID,メールアドレス等の個人情報は見えないようにしていますので少し違和感があるかもですがご了承ください。
AWS Organizationsで有効化
AWS OrganizationsでIAM Identity Centerを有効にします。
AWS Organizationsを選択して【サービス】→【IAM Identity Center】といった流れで以下の画面に行くと思います。
IAM Identity Centerのコンソール画面
上部の検索タブで「IAM」と打てば「IAM Identity Center」が出てくると思うのでそれをクリックしてコンソール画面に移ります。
グループの作成
各ユーザーをまとめるためのグループを作成していきます。正直ユーザーから作成しても問題ないです。左タブの【グループ】を選択して、【グループ名】と【説明 - オプション】を入力していきます。これでグループの完成です。
ユーザーの作成及びグループへの追加
ユーザーを作成していきます。画面にある通り【ユーザー名】から【表示名】を記入していきます。【お問い合わせ方法 - 任意】から【追加の属性 - 任意】までは何も記入していません。
ユーザーを作成した流れで、グループに追加していきます。以下のように「次へ」を選択するとユーザーをグループに追加する画面が出てくるのでグループにつかしていきます。任意であるため必須ではないです。
最後に確認画面のような画面に切り替わるので【ユーザーを追加】を選択することでグループにユーザーが追加されます。
以下のようにグループにユーザが属していることが確認できました。
許可セット
許可セットの作成
ここでは、アカウントにどんな権限でログインをするかの設定をしていきます。
【マルチアカウントのアクセス許可】の【許可セット】→【許可セットを作成】の流れで作成画面に移ります。
次に許可セットタイプを選択していきます。カスタムで設定することもできますが、今回は事前に定義されたのを使用します。その中で、「AdministratorAccess」を選択します。
「許可セットの詳細」を記入していきます。【リレー状態 - オプション】については後日調べます。
その後確認画面に入るので【作成】を選択して完了です。
※この後ReadOnlyAccessの許可セットも作成しました。
アカウントへの許可セットの割り当て
アカウントに対して先程作成した許可セットを割り当てていきます。
【マルチアカウントのアクセス許可】の【AWSアカウント】→【ユーザーまたはグループの割り当て】の流れで作成画面に移ります。
次にグループをアカウントに当てていきます。
次に許可セットをアカウントに当てていきます。
その後、確認画面が出てくるので「送信」を選択することで作成が完了します。
サインイン
ユーザーの作成の際にメールアドレスを入力したと思いますにでメールを確認して初期パスワードを設定していきます。
その後、パスワードを作成していき、サインインする画面に変わるのでサインインをしていきます。
※MFA認証を有効にした場合それを設定する画面に移ります。
パスワードを設定して、サインインをしたら以下のようにアカウントとそのアカウントに対する許可セットが表示されます。ここでは「ReadOnlyAccess」の許可セットを選択してみます。
サインインしたら画面右上に「ReadOnlyAccess」が表示されたことを確認できました。
試しにEC2インスタンスが作成できないことを確認します。
ちゃんと「権限がないため操作できません」との旨エラーメッセージが出ていますね。
まとめ
IAM Identity Centerを導入することで、アカウント間や権限の切り替えの際にわざわざユーザー名やパスワードを入力しなくてよいのでスムーズに切り替えができるのだなと思いました。
個人利用ではあまり使うことはないと思いますが、今後仕事でAWSを使っていくことになりましたらIAM Identity Centerを導入するかもですので、今回の学習もとても役に立ちました。
参考文献
以下を参考にして学習しました。
ありがとうございます。
IAM Identity Center とは何ですか?
IAM Identity Centerを使って複数アカウント管理する。（その１：IAM Identity Centerでのログイン）