はじめに

SAA試験勉強のうちアカウント管理やログイン関連について、個人的に何度も忘れてしまうものや分かりにくいものをまとめていきます！
試験範囲を網羅しているわけでは全くありませんのでご注意を！
その他の範囲まとめはこちら↓

Organizations

SCP

SCPを有効化すると、デフォルトではOUに対してFullAWSAccessが付与される。
SCPでは、各サービスへのアクセス権限の設定の他、
EC2インスタンス作成時のタグ付けを強制したり、タグを削除することを防ぐポリシーも適用できる。

タグポリシー

タグ付けの標準化ができる。

タグキーと値の制限：タグのキー名と値の形式を制限し、誤ったタグ付けを防ぐ。
必須タグの指定：すべてのリソースに必ず付与するべきタグを指定できる。
タグの組み合わせの制限：特定のタグキーとタグ値の組み合わせを許可または禁止できる。

SCPでタグに関して設定できることは最小限で「タグ付け強制の有無、タグ削除禁止」など。
対してタグポリシーでは、タグ付けに関して、より詳細にタグキーや値の設定ができる。

一括請求

EC2やS3などの一部サービスは、ユーザーがより多く利用すればするほど低価格となるため、Organizationsの一括請求で利用量を統合することでコストを削減できる可能性がある。

Control Tower

Organizations環境の管理とガバナンスを簡単にするためのマネージドサービス。
新しいアカウントが自動的にセキュリティとコンプライアンスを守るように設定され、例えばAPIコールやログインの監査も実施できる。

STS

Security Token Service (STS)は限定的で一時的なセキュリティ認証情報を提供するサービス。
ウェブIDフェデレーションを使用すると、外部のIDプロバイダー（例えばGoogleなど）を使用してサインインできる。
そこで発行された認証トークンを使って、S3などのAWSリソースを使用するためのアクセス許可を持つIAMロールにトークンをマッピングして、一時的なセキュリティ認証情報に変換できる。

IAM

IAMポリシー

IAMポリシーには大きく分けて以下3つの種類がある

管理ポリシー
- AWS管理ポリシー：管理者権限ポリシーなど、AWSがあらかじめ定義してくれているポリシー
- カスタマー管理ポリシー：AWSアカウントで作成・管理するポリシー。複数のIAMエンティティにアタッチできる
インラインポリシー：1つのエンティティ（ユーザー／グループ／ロール）に埋め込まれる固有ポリシー

IAM Roles Anywhere

AWSの外部で実行されるワークロード（オンプレサーバ、コンテナ、他のクラウド環境など）に対して一時的なAWSの認証情報を安全に提供するサービス。
オンプレとの連携が必要なハイブリッドクラウド環境や、コンテナ環境からAWSリソースにアクセスな必要な場合などに利用される。

Identity Center

組織内のユーザーIDを一元的に管理し、AWSアカウントやAWSアプリケーションへのSSO（シングルサインオン）を提供する。
ユーザーディレクトリ（Directory Service、Oktaなど）と連携し、ユーザー認証と認可を行う。
従業員が社内システムと同じ認証情報でAWSにアクセスできるようにしたい場合などに使用する。

STSとIdentity Centerの違い

-	STS	Identity Center
主な役割	一時的な認証情報の発行	ユーザーの一元管理とSSO
認証方法	IAMユーザー、外部IdPなど	ユーザーディレクトリ
アクセス対象	AWSリソース	AWSアカウント、AWSアプリケーション
目的	AWSリソースへの一時的なアクセスを許可	複数のAWSアカウントやアプリケーションへのアクセスを簡素化する

Identity CenterはSAMLベースの認証を行うため、
SAMLと互換性がないサービスで認証を行う場合にはSTSと使う必要がある。

Identity and Access Management (IAM) Access Analyzer

IAMユーザーのアクセス権限を分析し、リソースやアカウントに対する不要な権限があるかどうかを確認できる。

Active Directory連携

Active Directoryの資格情報を使用して、オンプレとAWSの両方にアクセスできるシングルサインオンを実現する方法

IAM Identity Centerを利用して、SAMLフェデレーションを設定してオンプレミス環境のActive Directoryと連携することで、Active Directoryの資格情報を利用してAWSとオンプレの両方に一元的にアクセスできるようになる。

Directory Service

AWS上でMicrosoft Active Directoryの機能を利用できるマネージドサービス。
大きく分けて3つのタイプがある。

タイプ	説明	主な用途
Simple AD	AWS上に新たに構築される小規模なActive Directory環境。基本的な認証機能を提供し、AWSのサービスと連携できる。	小規模な環境での認証、開発環境
AD Connector	既存のオンプレActive DirectoryとAWSを連携させるために使う。既存のADユーザーやグループ情報をAWSに同期できる	既存のAD環境とAWSを連携させたい場合
AWS Managed Microsoft AD	AWS上で完全に管理される大規模なActive Directory環境。オンプレのADと同様の機能を提供し、高度なセキュリティ機能も備えている。	大規模な環境での認証、複雑なドメイン構造が必要な場合

AWS Directory Serviceのユーザーまたはグループに、IAMロールを割り当てることでアクセス制御を行う

混同しやすいもの比較

-	Organizations	IAM Identity Center	IAM個別管理
主な機能	AWSアカウントの組織化、一括請求、SCP	シングルサインオン、アクセス権限の一元管理、MFA	各アカウント内のユーザー、グループ、ロールの管理
管理単位	AWSアカウントのグループ	組織全体	個別のAWSアカウント
メリット	アカウント管理の効率化、コスト管理の簡素化、セキュリティポリシーの一元管理	アクセス管理の効率化、セキュリティ強化、UX向上	柔軟な権限設定、細粒度のアクセス制御
デメリット	組織構造の変更に時間がかかる	導入初期コスト、複雑な設定	管理コスト増大
ユースケース	複数のAWSアカウントをグループ化し、一括管理したい場合。コストを最適化したい場合。セキュリティポリシーを統一したい場合	複数のAWSアカウントやSaaSアプリケーションへのアクセスを統合したい場合。セキュリティレベルを高めたい場合。大規模組織で一元的な管理を行いたい場合	小規模プロジェクトや特定のサービスへのアクセス管理をしたい場合

Cognito

Cognito アダプティブ認証

新しいデバイスや位置などからログインされると、動的にセキュリティレベルを調整する仕組み。

ex. いつもと違うスマホからログインされたらMFA認証を要求する