お久しぶりです...
前回の投稿からかなり期間が空いてしまいました...
プロフィールの「 とりあえず月2ペースで更新頑張るぞ！」とはなんだったのか...
いま参画しているプロジェクト内でAWS Identity Center(旧AWS SSO)を触る機会があったので、まとめておこうと思います。
IAM Identity Centerとは...?
AWSのページには『複数の AWS アカウントやアプリケーションへのワークフォースのアクセスを一元管理』と書かれています。
自分の言葉でまとめると、AWS Control TowerやAWS Organizationsに属している複数のAWSアカウントに対して、SSOできるというサービスです。
早速ですがIAM Identity Centerの注意点
いくつかありますが、個人的にここを気を付けないとなあ、と思ったものをピックアップしました。
※今回はControl Tower構築時にIAM Identity Centerが自動で有効化された際の挙動なので、そこだけ注意お願いします
①有効化した際に、「各アカウントのrootユーザ」のIAM Identity Centerユーザが自動作成される。
これは記載している通りで、画像のように自動作成されてました。
・赤枠がOrganizationsに属している子アカウント
・青枠がControl Towerの管理アカウント(Organizationsの親アカウント)
rootユーザのメールアドレス宛にIAM Identity Centerユーザ作成の際のメールも自動で飛んでしまうので注意。
特に使用する用途が無ければ、IAM Identity Centerのコンソールからユーザを無効化しておきましょう。
②「IAM Identity Center」と「各AWSアカウントで管理しているIAM」の権限管理
IAMとIAM Identity Centerでは、管理している場所が異なります。
IAM Identity Center：Organizations親アカウントのIAM Identity Centerコンソール
IAM：各アカウントのIAMコンソール
権限管理する場所が2か所になってしまうので、2重管理になってしまうのがめんどくさそう...と思いました。
僕の感覚では、IAMは今まで通りの運用、IAM Identity Centerで作成するユーザは一部の管理者(数名程度)が良いのではないかと思いました。
個別ユーザまでIAM Identity Centerでユーザ管理するのはしんどそう。
③一般ユーザに渡してはいけない権限
これが一番の注意点かなと思います。
アカウントごとのIAMでいうと「IAMのフルアクセス権限」をわたしてしまうと実質Administrator権限を渡すことになってしまいます。
IAM Identity Centerも同様に、「Organizations親アカウント」のIAM Identity Centerフルアクセスをユーザに付与しないように気を付ける必要が有ります。
ユーザ作成&権限付与の流れ
①ユーザ作成
1.[ユーザ] > [ユーザを追加]
2.いろいろ入力(名と姓、表示名も必須項目です)
3.ユーザを所属させるグループを選択(もちろんあとからでも編集可能です)
4.「ユーザーの確認と追加」で「ユーザを追加」を押下して完了。
無事作成されました
権限カスタムの流れ
大まかには以下の流れになります。
キャプチャを取るのが面倒なので、だいぶ省いています...
①許可セットの作成(IAMのポリシーみたいなやつ)
↓
②グループの作成(IAMのグループみたいなやつ)
↓
③ユーザorグループに権限を追加(これはIAM Identity Center特有なので、キャプチャ載せます。)
1.[マルチアカウント許可] > [AWSアカウント]を押下
2.AWSアカウントを選択
(例：Log Archiveアカウントのread only権限をユーザorグループに割り当てる場合は、Log Archiveアカウントを選択し、[ユーザまたはグループを割り当て]を押下)
3.割り当てたいグループorユーザを選択
4.許可セットを選択
(今回は[AWSReadOnlyAccess]の許可セットを選択)
5.「送信」を押下して割り当て完了
実際にログインしてみる
ユーザ作成の際にメールが送られてきます。
(メール件名：Invitation to join AWS IAM Identity Center (successor to AWS Single Sign-On))
そこに記載のURLからログインします。
こんな感じで送られてきます。以下メール本文抜粋
Accessing the AWS access portal
After you've accepted the invitation, you can sign in to the AWS access portal by using the > > information below.
Your AWS access portal URL:
https://d-xxxxxxxxxx.awsapps.com/start/
Your Username:
XXX@XXX.co.jp
https://d-xxxxxxxxxx.awsapps.com/start/
にアクセスし、ユーザ名と作成下パスワードでログインします。こんな画面です。(MFA有効化の場合はここで入力します)
パスワードを入力したらこんな画面になります。
はじめて見たときはおおー！ってなりました。ここでコンソールかCLIも選べます。
Management consoleを押すと、いつものコンソールにたどり着きます。なんて便利...
さいごに
Control Towerを構築するプロジェクトを任せてもらえ、とても経験になりました！
忙しくも充実してたと思います。
また、Control Tower周りはいろいろ検証したり、詰まった箇所があったので記事作成中です！
できれば年内投稿したい...
質問があればコメントしていただければと思います。
それではまたどこかで。