Kertakirjautuminen IAM Identity Centerillä

Yrityksen kasvaessa jokaiselle työntekijälle IAM-käyttäjän luominen jokaiseen tiliin muuttuu painajaiseksi. Ihmiset lähtevät, roolit muuttuvat ja salasanat leviävät kymmeniin tileihin.

IAM Identity Center (aiemmin AWS SSO) ratkaisee tämän tarjoamalla henkilöstölle yhden kirjautumispaikan, josta he pääsevät kaikkiin tileihin, joihin heillä on oikeus. Identiteetit sijaitsevat keskitetyssä hakemistossa, eivät pitkäikäisinä IAM-käyttäjinä eri puolilla ympäristöä.

IAM Identity Center on AWS:n palvelu, joka tarjoaa keskitetyn kertakirjautumisen henkilöstölle useiden AWS Organizationin tilien välillä.

• Se toimii organisaatiotasolla, ja sitä hallitaan hallinta- tai delegoidulta tililtä.
• Käyttäjille näytetään henkilökohtainen käyttöoikeusportaali, jossa luetellaan vain tilit ja roolit, joita he voivat käyttää.
• Se voi käyttää omaa sisäistä hakemistoaan tai muodostaa yhteyden ulkoiseen hakemistoon.

Identity Center voi hakea käyttäjätietoja kolmenlaisista identiteettilähteistä:

• Identity Centerin sisäinen hakemisto pienille tiimeille.
• Active Directory (itse hallittu tai AWS Managed Microsoft AD).
• Ulkoinen IdP (identiteetintarjoaja), kuten Okta tai Entra ID, SAML:n kautta.

Identity Center -instanssille valitaan yksi lähde. Sen vaihtaminen myöhemmin aiheuttaa häiriöitä, joten valinta kannattaa tehdä huolellisesti.

Permission set on uudelleenkäytettävä IAM-käyttöoikeuksien kokonaisuus, jonka Identity Center muuntaa IAM-rooliksi jokaisessa kohdetilissä.

• Määritä permission set kerran, esimerkiksi ReadOnly tai Billing Admin.
• Määritä se käyttäjälle tai ryhmälle tietyissä tileissä.
• Identity Center luo vastaavan roolin automaattisesti kyseisiin tileihin.

Kun käyttäjä kirjautuu käyttöoikeusportaaliin, hän todentaa itsensä kerran identiteettilähdettä vasten. Tämän jälkeen Identity Center federöi käyttäjän valittuun tiliin myöntämällä väliaikaiset tunnistetiedot STS:n (Security Token Service) kautta käyttäjän valitsemalle permission setille.

Pitkäaikaisia pääsyavaimia ei luoda. Kun istunto vanhenee, käyttöoikeus päättyy automaattisesti.

Hallitse käyttöoikeuksia ryhmien, älä yksittäisten henkilöiden, avulla. Määritä ryhmälle ja permission setille joukko tilejä, jolloin jokainen jäsen saa kyseiset käyttöoikeudet.

• Kun lisäät uuden työntekijän ryhmään, hän saa heti oikeat käyttöoikeudet.
• Kun poistat henkilön ryhmästä, käyttöoikeus katoaa kaikkialta kerralla.

Näin vähimpien oikeuksien periaatteen toteuttaminen pysyy hallittavana tiimien muuttuessa.

Identity Center tukee ABAC:ia (attribuuttipohjainen käyttöoikeuksien hallinta). Käyttäjän attribuutit, kuten osasto tai kustannuspaikka, välitetään AWS:ään istuntotageina.

IAM-käytännöt voivat viitata näihin tageihin ehdoissa, jolloin yksi permission set voi myöntää eri käyttöoikeudet käyttäjän tietojen mukaan. Tämä vähentää ylläpidettävien permission settien määrää.

Voit hallita, kuinka kauan portaalin istunto kestää ennen uuden todentamisen vaatimista. Lyhyemmät istunnot pienentävät riskiä, jos laite varastetaan.

Identity Center voi pakottaa käyttöön MFA:n (monivaiheinen tunnistautuminen) joko aina tai vain riskialttiissa kirjautumisissa, mikä lisää henkilöstön käyttöoikeuksien suojausta vahvalla toisella tekijällä.

Identity Centerin käyttäminen Organizationsin hallintatililtä keskittää riskiä. AWS:n avulla päivittäinen hallinta voidaan delegoida erilliselle jäsen tilille.

Tämä noudattaa parasta käytäntöä, jossa hallintatili pidetään lähes tyhjänä ja tietoturvatyökaluille käytetään tarkoitukseen varattuja tilejä.

AWS-tilien lisäksi Identity Center voi toimia SAML-yhteensopivien pilvisovellusten ja AWS:n hallinnoimien sovellusten SSO-kirjautumisporttina.

Yksi kirjautuminen antaa työntekijöille sekä AWS-konsolin käyttöoikeudet että liiketoimintasovellukset, joita hallitaan samoilla ryhmä- ja MFA-säännöillä.

Valitse Identity Center aina, kun käytössä on enemmän kuin pari tiliä ja käyttäjiä, jotka tarvitsevat konsoli- tai CLI-käyttöoikeudet.

• Se korvaa henkilöiden tilikohtaiset IAM-käyttäjät.
• IAM-roolit hoitavat edelleen koneiden ja palvelujen käyttöoikeudet.

Tutkintokysymyksissä ilmaus ”keskitetään henkilöstön kirjautuminen useisiin tileihin” viittaa lähes aina IAM Identity Centeriin.

Opit, miten IAM Identity Center keskittää henkilöstön SSO-kirjautumisen koko organisaatiossa.

• Yksi identiteettilähde palvelee useita tilejä.
• Permission setit muuttuvat rooleiksi kussakin tilissä.
• Käyttöoikeudet myönnetään ryhmille ja toimitetaan väliaikaisina tunnistetietoina MFA:n kanssa.

Se korvaa henkilöstön käytössä hajallaan olevat IAM-käyttäjät.