▪️目的
AWSを利用するシステムが増えると、複数のAWSアカウントを使い分ける場面が出てきます。
例えば、開発環境と本番環境でAWSアカウントを分けている場合、それぞれのアカウントにログインして作業する必要があります。利用するアカウントが増えるほど、ユーザーや権限の管理も複雑になります。
このような課題を解決するサービスが AWS IAM Identity Center です。
本記事では、IAM Identity Centerの概要から、主な機能、IAMとの違い、利用するメリットまで、インフラ初心者向けに解説します。
▪️AWS IAM Identity Centerとは
AWS IAM Identity Centerは、複数のAWSアカウントや対応するアプリケーションへのアクセスを一元管理するためのサービスです。
ユーザーやグループに対して、どのAWSアカウントへアクセスできるか、どのような権限で操作できるかをまとめて管理できます。
例えば、次のような環境を考えてみましょう。
- 開発環境用のAWSアカウント
- 検証環境用のAWSアカウント
- 本番環境用のAWSアカウント
IAM Identity Centerを利用すると、ユーザーごとに各アカウントのIAMユーザーを作成して管理する方法に頼らず、共通の入口から必要なAWSアカウントへアクセスできるように構成できます。
ユーザーはポータルからアクセス先のAWSアカウントを選択し、割り当てられた権限で作業します。
なお、IAM Identity Centerは、以前「AWS Single Sign-On（AWS SSO）」という名称で提供されていたサービスです。
公式ドキュメント：AWS IAM Identity Centerとは
▪️IAM Identity Centerの主な機能
IAM Identity Centerの主な機能は、次の3つです。
- ユーザーとグループの管理
- AWSアカウントへのアクセス管理
- シングルサインオン（SSO）
それぞれ詳しく見ていきましょう。
1. ユーザーとグループの管理
IAM Identity Centerでは、AWS環境を利用するユーザーやグループを管理できます。
例えば、企業のAWS環境であれば、次のようにユーザーをグループに分類できます。
| グループ | 利用者の例 |
|---|---|
| 開発チーム | アプリケーションやインフラの開発担当者 |
| 運用チーム | AWS環境の運用担当者 |
| 監査チーム | セキュリティや設定状況を確認する担当者 |
グループ単位でアクセス権限を割り当てることで、ユーザーごとに個別設定を繰り返す負担を軽減できます。
例えば、開発チームには開発環境へのアクセス権限を割り当て、運用チームには運用に必要な権限を割り当てる、といった構成が考えられます。
また、IAM Identity Centerでは、内蔵のユーザーディレクトリを利用できるほか、対応する外部のIDプロバイダーと連携してユーザーを管理することもできます。
外部のIDプロバイダーと連携する場合は、ユーザー情報や認証情報をどこで管理するか、同期や認証をどのように行うかを設計する必要があります。
2. AWSアカウントへのアクセス管理
IAM Identity Centerでは、ユーザーやグループに対して、アクセス先のAWSアカウントと権限を割り当てられます。
この仕組みを理解するうえで重要なのが、**許可セット（Permission Set）**です。
許可セットは、AWSアカウントへアクセスする際に利用する権限のまとまりです。AWS管理ポリシーやカスタマー管理ポリシーなどを利用して、アクセス時に必要な権限を定義できます。
例えば、次のような許可セットを用意できます。
- 読み取り専用：リソースの情報確認を中心とした権限
- 開発者向け：開発作業に必要な権限
- 管理者向け：管理業務に必要な広範な権限
これらの許可セットをユーザーやグループに対してAWSアカウント単位で割り当てます。
例えば、開発チームには開発アカウントの開発者向け権限を割り当て、本番アカウントへのアクセスは必要な担当者に限定する、といった設計が可能です。
このように、誰が、どのアカウントに、どの権限でアクセスできるかを一元管理しやすくなります。
なお、許可セットを割り当てると、対象のAWSアカウント側には、その許可セットに対応するIAMロールが作成・管理されます。ユーザーは、そのロールを通じてAWSリソースを操作します。
3. シングルサインオン（SSO）
IAM Identity Centerは、シングルサインオン（SSO）を実現するためにも利用できます。
SSOとは、一度の認証を通じて、複数の対応システムへアクセスできるようにする仕組みです。
IAM Identity Centerでは、ユーザーがアクセスポータルにサインインし、割り当てられたAWSアカウントや対応アプリケーションを選択して利用できます。
例えば、開発環境と検証環境のAWSアカウントを利用する場合、それぞれのアカウントで個別にユーザーを管理する方法に比べて、アクセスの入口をまとめやすくなります。
また、対応する外部のIDプロバイダーと連携すれば、既存の社内認証基盤を利用したアクセス管理も可能です。
ただし、SSOは、すべてのシステムで自動的に利用できるわけではありません。対象システムが対応している認証方式や、連携設定を確認する必要があります。
▪️IAM Identity Centerの仕組み
IAM Identity Centerを利用したアクセスの流れを、簡単な構成図で確認しましょう。
ユーザー
│
▼
IAM Identity Center
│
├── ユーザー・グループの管理
│
├── アクセス先のAWSアカウントを決定
│
└── 許可セットに基づく権限を適用
│
▼
対象AWSアカウント
│
▼
IAMロールを通じて操作
│
▼
AWSリソースを利用
※概念を理解するための簡略図です。
この仕組みでは、IAM Identity Centerがユーザーのアクセス先と権限の割り当てを管理し、各AWSアカウントでは対応するIAMロールを通じて操作が行われます。
これにより、アカウントごとにIAMユーザーを作成して個別管理する方法に比べ、ユーザー管理や権限変更を一元化しやすくなります。
▪️IAM Identity CenterとIAMの違い
IAM Identity CenterとAWS IAMは、どちらもアクセス管理に関わるサービスですが、主な役割が異なります。
IAMはAWSリソースへのアクセス権限を管理するサービスであり、IAM Identity Centerは複数アカウントなどへの利用者のアクセスを一元管理するためのサービスです。
| 比較項目 | IAM Identity Center | AWS IAM |
|---|---|---|
| 主な役割 | 複数アカウントや対応アプリへのアクセスを一元管理 | AWSリソースへのアクセス権限を管理 |
| 主な管理対象 | ユーザー、グループ、アカウントへのアクセス割り当て | IAMユーザー、IAMロール、ポリシーなど |
| 権限の設定 | 許可セットを通じてAWSアカウントへの権限を割り当てる | IAMポリシーなどで権限を定義する |
| 利用場面 | 複数AWSアカウントへの人間のアクセス管理など | AWSリソースへのアクセス制御、サービス間の権限設定など |
例えば、複数のAWSアカウントを利用する企業では、IAM Identity Centerを使って従業員のアクセスを一元管理し、各アカウント内ではIAMロールやIAMポリシーによって実際の権限を制御する、といった構成が考えられます。
両者は競合するものではなく、それぞれの役割を組み合わせて利用できます。
▪️AWS Organizationsとの関係
IAM Identity Centerを理解するうえでは、AWS Organizationsとの関係も重要です。
AWS Organizationsは、複数のAWSアカウントを組織としてまとめて管理するサービスです。
一方、IAM Identity Centerは、そのような複数アカウント環境で、ユーザーがどのアカウントへアクセスできるかを一元管理するために利用できます。
例えば、次のような構成です。
AWS Organizations
│
├── 開発アカウント
├── 検証アカウント
└── 本番アカウント
IAM Identity Center
│
├── 開発チーム
│ └── 開発アカウントへのアクセス
│
└── 運用チーム
├── 検証アカウントへのアクセス
└── 本番アカウントへのアクセス
※構成例です。実際のアクセス権限は組織の要件に応じて設計します。
AWS Organizationsでアカウントを組織として管理し、IAM Identity Centerで利用者のアクセスを管理することで、マルチアカウント環境を運用しやすくなります。
また、AWS Control Towerを利用している環境では、IAM Identity Centerをユーザーのアクセス管理に活用できます。
それぞれの役割を整理すると、次のようになります。
- AWS Organizations：複数アカウントを組織として管理する
- AWS Control Tower：マルチアカウント環境のセットアップや統制を支援する
- IAM Identity Center：ユーザーやグループのアクセスを一元管理する
▪️IAM Identity Centerを利用するメリット
IAM Identity Centerを利用する主なメリットは、次の3つです。
1. ユーザー管理を一元化できる
複数のAWSアカウントで個別にユーザーを管理すると、ユーザーの追加や削除、権限変更の作業が増えます。
IAM Identity Centerを利用すると、ユーザーやグループ、アクセス先の割り当てをまとめて管理しやすくなります。
例えば、従業員が異動した場合や、担当プロジェクトが変わった場合にも、アクセス権限を整理しやすくなります。
2. 最小権限の原則を実現しやすい
最小権限の原則とは、ユーザーやシステムに対して、業務に必要な最小限の権限だけを付与する考え方です。
IAM Identity Centerでは、ユーザーやグループごとにAWSアカウントへのアクセスと許可セットを割り当てられます。
これにより、開発担当者には開発に必要な権限を、運用担当者には運用に必要な権限を割り当てるなど、役割に応じたアクセス管理を行いやすくなります。
ただし、最小権限を実現するためには、許可セットの内容や対象アカウントを適切に設計する必要があります。
3. アカウントごとのログイン管理を簡素化できる
複数のAWSアカウントを利用する場合、アクセスの入口が分散すると、利用者の操作や管理者の運用が複雑になりやすくなります。
IAM Identity Centerを利用すれば、アクセスポータルを入口として、割り当てられたAWSアカウントやアプリケーションにアクセスできるようになります。
これにより、利用者がアクセス先を切り替える際の負担を軽減し、管理者もアクセス権限を整理しやすくなります。
▪️IAM Identity Centerを利用する際の注意点
便利なIAM Identity Centerですが、導入する際には次の点に注意しましょう。
1. 権限の割り当てを適切に設計する
ユーザーやグループに広すぎる権限を割り当てると、不要な操作まで可能になるおそれがあります。
許可セットを設計する際は、業務に必要な権限を確認し、最小権限の原則に沿って設定することが重要です。
特に、本番環境へのアクセスは、開発環境へのアクセスと分けて慎重に管理しましょう。
2. ユーザーの認証とAWSリソースの権限は別に考える
IAM Identity Centerによってユーザーが認証され、AWSアカウントへのアクセスを許可されても、AWSリソースに対して何でも操作できるわけではありません。
実際に実行できる操作は、割り当てられた許可セットや、適用されるIAMポリシーなどによって制御されます。
「ログインできること」と「すべての操作ができること」は別であると理解しておきましょう。
3. 外部IDプロバイダーとの連携では構成を確認する
既存の社内認証基盤と連携する場合は、認証方式やユーザー情報の同期方法などを設計する必要があります。
また、ユーザーの追加・削除やグループ変更が、AWSへのアクセス権限にどのように反映されるかを確認することも重要です。
認証基盤の設定に問題があると、ユーザーがログインできなくなったり、意図した権限変更が反映されなかったりする可能性があります。
▪️まとめ
AWS IAM Identity Centerは、複数のAWSアカウントや対応アプリケーションへのアクセスを一元管理するためのサービスです。
主な機能は次の3つです。
- ユーザー・グループ管理： AWS環境を利用するユーザーやグループを管理する
- アクセス管理： 許可セットを利用して、AWSアカウントへのアクセスと権限を割り当てる
- SSO： アクセスポータルなどを通じて、複数のAWSアカウントや対応アプリケーションへアクセスできるようにする
AWS Organizationsが複数アカウントを管理するためのサービスであるのに対し、IAM Identity Centerは利用者のアクセスを一元管理するためのサービスです。
また、IAM Identity Centerでアクセスを管理し、各AWSアカウント内ではIAMロールやIAMポリシーによって権限を制御する、といった役割分担も重要です。
AWSのマルチアカウント環境を理解するために、AWS Organizations、AWS Control Tower、IAM Identity Centerの3つの役割をセットで押さえておきましょう。
次の記事では、「AWS Direct Connect」について解説します。
＊「AWS Direct Connect」の記事はこちら
→「https://lovelabengineer.com/2026/10/11/【aws入門】aws-direct-connectとは？仕組みやメリット、vpnとの違/」
No responses yet