Single Sign-On mit IAM Identity Center

Wenn ein Unternehmen wächst, wird es schnell zum Albtraum, jedem Mitarbeiter in jedem Konto einen IAM-Benutzer (Identity and Access Management) zu geben. Mitarbeiter verlassen das Unternehmen, Rollen ändern sich und Passwörter verteilen sich über Dutzende von Konten.

IAM Identity Center (früher AWS SSO) löst dieses Problem, indem Ihre Mitarbeiter eine zentrale Anmeldestelle erhalten, über die sie jedes Konto erreichen, für das sie berechtigt sind. Die Identitäten liegen in einem zentralen Verzeichnis und nicht verteilt als langlebige IAM-Benutzer vor.

IAM Identity Center ist der AWS-Service für zentralisiertes Single Sign-On für Mitarbeiter über mehrere Konten in einer AWS-Organisation hinweg.

• Der Service befindet sich auf Organisationsebene und wird über das Verwaltungs- oder ein delegiertes Konto verwaltet.
• Benutzer erhalten ein personalisiertes Zugriffsportal, in dem nur die Konten und Rollen aufgeführt sind, die sie verwenden dürfen.
• Der Service kann ein eigenes integriertes Verzeichnis verwenden oder eine Verbindung zu einem externen Verzeichnis herstellen.

Identity Center kann Benutzer aus drei Arten von Identitätsquellen beziehen:

• das integrierte Identity-Center-Verzeichnis für kleine Teams,
• Active Directory (selbst verwaltet oder AWS Managed Microsoft AD),
• einen externen IdP (Identity Provider) wie Okta oder Entra ID über SAML.

Sie wählen eine Quelle pro Identity-Center-Instanz. Eine spätere Änderung ist störend, wählen Sie daher sorgfältig.

Ein Berechtigungssatz ist ein wiederverwendbares Paket von IAM-Berechtigungen, das Identity Center in jedem Zielkonto in eine IAM-Rolle umwandelt.

• Definieren Sie einen Berechtigungssatz einmalig, zum Beispiel ReadOnly oder Billing Admin.
• Weisen Sie ihn einem Benutzer oder einer Gruppe für bestimmte Konten zu.
• Identity Center stellt die entsprechende Rolle automatisch in diesen Konten bereit.

Wenn sich ein Benutzer am Zugriffsportal anmeldet, authentifiziert er sich einmalig bei der Identitätsquelle. Identity Center föderiert den Benutzer anschließend in das ausgewählte Konto und stellt über STS (Security Token Service) temporäre Anmeldeinformationen für den ausgewählten Berechtigungssatz aus.

Es werden keine langfristigen Zugriffsschlüssel erstellt. Wenn die Sitzung abläuft, endet der Zugriff automatisch.

Verwalten Sie den Zugriff über Gruppen statt über einzelne Personen. Weisen Sie einer Gruppe zusammen mit einem Berechtigungssatz eine Gruppe von Konten zu, und jedes Mitglied erhält diesen Zugriff.

• Fügen Sie einen neuen Mitarbeiter zur Gruppe hinzu, erhält er sofort den richtigen Zugriff.
• Entfernen Sie eine Person, verschwindet ihr Zugriff überall gleichzeitig.

So bleibt das Prinzip der geringsten Berechtigung auch bei wechselnden Teams beherrschbar.

Identity Center unterstützt ABAC (attributbasierte Zugriffskontrolle). Benutzerattribute wie Abteilung oder Kostenstelle werden als Sitzungstags an AWS übergeben.

Ihre IAM-Richtlinien können dann in Bedingungen auf diese Tags verweisen, sodass ein Berechtigungssatz abhängig von der Identität des Benutzers unterschiedlichen Zugriff gewähren kann. Dadurch müssen Sie weniger Berechtigungssätze verwalten.

Sie legen fest, wie lange eine Portalsitzung dauert, bevor eine erneute Authentifizierung erforderlich ist. Kürzere Sitzungen verringern das Risikofenster, wenn ein Gerät gestohlen wird.

Identity Center kann MFA (Multi-Faktor-Authentifizierung) erzwingen, entweder immer oder nur bei riskanten Anmeldungen. Dadurch erhält der Workforce-Zugriff einen starken zweiten Faktor.

Wenn Sie Identity Center über das Verwaltungskonto von Organizations betreiben, konzentrieren Sie das Risiko. AWS ermöglicht es Ihnen, die tägliche Administration an ein separates Mitgliedskonto zu delegieren.

Dies entspricht der Best Practice, das Verwaltungskonto nahezu leer zu halten und speziell vorgesehene Konten für Sicherheitstools zu verwenden.

Neben AWS-Konten kann Identity Center als SSO-Einstiegspunkt für SAML-fähige Cloud-Anwendungen und von AWS verwaltete Apps dienen.

Eine Anmeldung gewährt Mitarbeitern sowohl Zugriff auf die AWS-Konsole als auch auf ihre Geschäftsanwendungen. Beides wird durch dieselben Gruppen- und MFA-Regeln gesteuert.

Verwenden Sie Identity Center, sobald Sie mehr als ein oder zwei Konten und menschliche Benutzer haben, die Zugriff auf die Konsole oder die CLI benötigen.

• Für Personen ersetzt es IAM-Benutzer pro Konto.
• IAM-Rollen übernehmen weiterhin den Zugriff von Maschinen und Services.

In Prüfungen weist „Workforce-Anmeldungen über viele Konten zentralisieren“ fast immer auf IAM Identity Center hin.

Testen Sie Ihr Verständnis von Identity Center.

Sie haben gelernt, wie IAM Identity Center das SSO für Mitarbeiter in einer Organisation zentralisiert.

• Eine Identitätsquelle versorgt viele Konten.
• Berechtigungssätze werden in jedem Konto zu Rollen.
• Der Zugriff wird Gruppen gewährt und mit MFA als temporäre Anmeldeinformationen bereitgestellt.

Damit werden umfangreiche IAM-Benutzerstrukturen für den Zugriff durch Menschen ersetzt.