AWS IAM Identity Center（エーダブリューエス アイエーエム アイデンティティセンター）は、Amazon.comがAmazon Web Services（AWS）の一部として提供する、シングルサインオン（一度のサインインで複数のサービスを利用できる仕組み）のサービスである。組織の従業員が1組の資格情報で複数のAWSアカウントや業務用のクラウドアプリケーションにサインインできるようにし、誰にどのアカウントのどの権限を与えるかを一元的に管理する。2017年12月7日にAWS Single Sign-On（略称AWS SSO）として提供が始まり、2022年7月26日に現在の名称へ改称された。サービスの利用に追加料金はかからない。

概要 AWSには、1つのAWSアカウントの中で誰が何をできるかを定める仕組みとしてAWS Identity and Access Management（IAM）がある。IAM Identity CenterはそのIAMの上に構築されたサービスで、従業員（AWSは「ワークフォース」と呼ぶ）がAWSへ入るときのサインインの窓口と、複数のAWSアカウントにまたがる権限の割り当てを担う。管理者は社内で使っているID基盤を一度接続すれば、そこにあるユーザーとグループをもとに、AWSアカウントへのアクセスとアプリケーションへのアクセスの一方または両方を割り当てられる。有効化しても、各AWSアカウントにある既存のIAMのロール・ユーザー・ポリシーは変更されない。

管理の対象となるAWSアカウントは、複数アカウントをまとめて扱うAWSのサービスであるAWS Organizationsで管理されているものである。利用者は「AWSアクセスポータル」と呼ばれる画面にサインインし、自分に割り当てられたAWSアカウントやアプリケーションのアイコンを選んで利用する。 仕組み IDソース ユーザーとグループをどこで管理するかの設定をIDソースと呼び、組織あたり1つだけ選べる。選択肢は、サービス内に用意される「Identity Centerディレクトリ」（初めて有効化したときの既定）、AWS Directory Serviceを通じて接続するオンプレミスまたはAWS上のディレクトリ、Oktaなど外部のIDプロバイダー（利用者の認証を担う社外のサービス）の3種類である。外部のIDプロバイダーを使う場合、サインインはSAML 2.0で連携し、ユーザーとグループの情報はSCIMと呼ばれる標準規格で同期できる。 許可セット 許可セットは、1つ以上のIAMポリシー（許可する操作を列挙した権限の定義）を組み合わせて定義したひな形である。ユーザーやグループに許可セットを割り当てると、対象のAWSアカウントごとにIAM Identity Centerが管理するIAMロール（利用者が一時的に引き受けて使う権限のまとまり）が作られ、指定したポリシーがそのロールに付けられる。利用者はAWSアクセスポータルやAWSコマンドラインインターフェース（CLI）からそのロールを引き受けて操作し、許可セットを変更すると各アカウントのロールとポリシーも合わせて更新される。 アプリケーションの連携 接続できるアプリケーションは3種類に分かれる。IAM Identity Centerを認証に用いるAWS側のアプリケーション、設定があらかじめ用意された事前統合済みのSAMLアプリケーション、SAML 2.0に対応する任意のアプリケーションをウィザードで設定するカスタムアプリケーションである。 認証の強化 多要素認証に対応する。IDソースが外部のIDプロバイダーでない場合は、WebAuthn（FIDOに対応したセキュリティキーや端末内蔵の生体認証）と、認証アプリによるワンタイムパスワードを利用できる。外部のIDプロバイダーを使う場合は、そのプロバイダーの多要素認証の機能を用いる。 信頼できるIDの伝播 業務データを扱う分析系のサービスなどの間で利用者のIDを受け渡し、データへのアクセスを利用者ごとに判定・記録できるようにするための仕組みである。認可の枠組みであるOAuth 2.0を基盤とし、利用者の資格情報そのものを共有せずにIDを引き渡す。操作の記録が利用者ごとにAWS CloudTrailへ残るため、誰がどのデータを参照したかを後から確認できる。

歴史 2017年12月7日、AWSはAWS Single Sign-On（AWS SSO）の提供を開始した。当初の提供リージョンは米国東部（バージニア北部）の1か所で、AWS Organizations配下の複数アカウントへのアクセスと権限の一元管理、および設定ウィザードによるSAML 2.0対応アプリケーションへのシングルサインオンを、追加料金なしで利用できるものだった。ZDNetは、Amazonがこのサービスを、既存の社内の資格情報で複数のAWSアカウントとアプリケーションへのアクセスを管理できる集約型のポータルと説明していると報じた。

2018年2月にはAWSコマンドラインインターフェースからの利用に対応した。2020年11月には、IDソース側のユーザー属性を使って権限を判定する属性ベースのアクセス制御（ABAC）に対応した。

2022年7月26日、AWSはAWS SSOをAWS IAM Identity Centerへ改称した。AWSは、サービスの機能、IAMを基盤としていること、AWS全体のアクセス管理の中心という役割を反映した改称であり、既存の利用者にとって管理方法は変わらないとしている。改称後の2022年9月には、Identity Centerディレクトリのユーザーとグループを大規模に扱うためのAPIが追加された。

2023年11月には、1つのAWSアカウントの中で対応するAWSアプリケーションにのみ使える「アカウントインスタンス」が追加され、組織全体の設定を用意しなくても評価や導入ができるようになった。同月、Amazon QuickSightやAmazon Redshiftなどの分析系サービスが信頼できるIDの伝播に対応し、利用者のIDに基づいてデータへのアクセスを管理・記録できるようになった。2024年4月にはAWSアクセスポータルの画面が整理され、特定のAWSアカウントと許可セットでAWSマネジメントコンソールの目的の画面へ直接移動できるショートカットリンクが加えられた。2026年2月には、最初に有効化したリージョンからほかのリージョンへ利用者と権限の情報を複製し、複数のリージョンでAWSアカウントへのアクセスやAWSアプリケーションの利用ができるようになった。

関連項目 AWS Identity and Access Management シングルサインオン アイデンティティ管理 SAML AWS CloudTrail

脚注

外部リンク AWS IAM Identity Center（日本語公式ページ） AWS IAM Identity Center（英語公式ページ） AWS IAM Identity Center User Guide（英語ユーザーガイド）