Single Sign-On med IAM Identity Center

Efterhånden som en virksomhed vokser, bliver det et mareridt at give hver medarbejder en IAM-bruger i hver konto. Folk forlader virksomheden, roller ændres, og adgangskoder breder sig på tværs af dusinvis af konti.

IAM Identity Center (tidligere AWS SSO) løser dette ved at give medarbejderne ét sted at logge ind og få adgang til alle de konti, de har tilladelse til at bruge. Identiteterne findes i en central katalogtjeneste i stedet for at være spredt som langlivede IAM-brugere.

IAM Identity Center er AWS' tjeneste til centraliseret single sign-on for medarbejdere på tværs af flere konti i en AWS-organisation.

• Den findes på organisationsniveau og administreres fra administrationskontoen eller en delegeret konto.
• Brugere får en personlig adgangsportal, der kun viser de konti og roller, de må bruge.
• Den kan bruge sin egen indbyggede katalogtjeneste eller oprette forbindelse til en ekstern.

Identity Center kan hente brugere fra tre slags identitetskilder:

• Den indbyggede Identity Center-katalogtjeneste til små teams.
• Active Directory (selvadministreret eller AWS Managed Microsoft AD).
• En ekstern IdP (identitetsudbyder), f.eks. Okta eller Entra ID via SAML.

Du vælger én kilde pr. Identity Center-instans. Det er forstyrrende at ændre den senere, så vælg med omhu.

Et tilladelsessæt er en genanvendelig samling af IAM-tilladelser, som Identity Center omsætter til en IAM-rolle i hver målkonto.

• Definér et tilladelsessæt én gang (f.eks. ReadOnly eller Billing Admin).
• Tildel det til en bruger eller gruppe for bestemte konti.
• Identity Center opretter automatisk den tilsvarende rolle i disse konti.

Når en bruger logger ind på adgangsportalen, godkender vedkommende sig én gang over for identitetskilden. Identity Center federerer derefter brugeren til den valgte konto ved at udstede midlertidige legitimationsoplysninger gennem STS (Security Token Service) for det tilladelsessæt, brugeren vælger.

Der oprettes ingen langvarige adgangsnøgler. Når sessionen udløber, ophører adgangen automatisk.

Administrér adgang via grupper i stedet for enkeltpersoner. Tildel en gruppe og et tilladelsessæt til et sæt konti, så alle medlemmer arver denne adgang.

• Føj en ny medarbejder til gruppen, så får vedkommende straks den rette adgang.
• Fjern en person, så forsvinder adgangen overalt på én gang.

Det gør det muligt at håndtere princippet om mindst mulige privilegier, efterhånden som teams ændrer sig.

Identity Center understøtter ABAC (attributbaseret adgangskontrol). Brugerattributter som afdeling eller omkostningssted overføres til AWS som sessionstags.

Dine IAM-politikker kan derefter referere til disse tags i betingelser, så ét tilladelsessæt kan give forskellig adgang afhængigt af, hvem brugeren er. Det reducerer antallet af tilladelsessæt, du skal vedligeholde.

Du bestemmer, hvor længe en portalsession varer, før ny godkendelse kræves. Kortere sessioner mindsker risikovinduet, hvis en enhed bliver stjålet.

Identity Center kan håndhæve MFA (multifaktorgodkendelse), enten altid eller kun ved risikable login, hvilket tilføjer en stærk ekstra faktor til medarbejderadgangen.

Hvis Identity Center køres fra Organizations' administrationskonto, koncentreres risikoen. AWS lader dig delegere den daglige administration til en separat medlemskonto.

Det følger bedste praksis om at holde administrationskontoen næsten tom og bruge specialiserede konti til sikkerhedsværktøjer.

Ud over AWS-konti kan Identity Center være SSO-indgangen til skyapplikationer med SAML og AWS-administrerede applikationer.

Ét login giver medarbejderne både adgang til AWS-konsollen og deres forretningsapplikationer, alt sammen styret af de samme grupper og MFA-regler.

Vælg Identity Center, når du har mere end et par konti og menneskelige brugere, der har brug for adgang via konsollen eller CLI.

• Det erstatter IAM-brugere pr. konto for mennesker.
• IAM-roller håndterer stadig adgang for maskiner og tjenester.

På eksamen peger "centralisér medarbejderlogin på tværs af mange konti" næsten altid på IAM Identity Center.

Du har lært, hvordan IAM Identity Center centraliserer SSO for medarbejdere på tværs af en organisation.

• Én identitetskilde forsyner mange konti.
• Tilladelsessæt bliver til roller i hver konto.
• Adgang tildeles til grupper og leveres som midlertidige legitimationsoplysninger med MFA.

Det erstatter omfattende IAM-brugere til menneskelig adgang.