Authentification unique avec IAM Identity Center

À mesure qu’une entreprise grandit, donner à chaque employé un utilisateur IAM (gestion des identités et des accès) dans chaque compte devient un cauchemar. Les employés partent, les rôles changent et les mots de passe se multiplient dans des dizaines de comptes.

IAM Identity Center (anciennement AWS SSO) résout ce problème en offrant à votre personnel un point de connexion unique pour accéder à tous les comptes auxquels il a droit. Les identités résident dans un annuaire central, plutôt que d’être dispersées sous forme d’utilisateurs IAM à longue durée de vie.

IAM Identity Center est le service AWS d’authentification unique centralisée du personnel entre plusieurs comptes d’une organisation AWS.

• Il se situe au niveau de l’organisation et est géré depuis le compte de gestion ou un compte délégué.
• Les utilisateurs disposent d’un portail d’accès personnalisé qui ne répertorie que les comptes et les rôles qu’ils peuvent utiliser.
• Il peut utiliser son propre annuaire intégré ou se connecter à un annuaire externe.

Identity Center peut utiliser trois types de sources d’identité :

• L’annuaire Identity Center intégré pour les petites équipes.
• Active Directory (autogéré ou AWS Managed Microsoft AD).
• Un IdP externe (fournisseur d’identité), tel qu’Okta ou Entra ID, via SAML.

Vous choisissez une seule source par instance d’Identity Center. La modifier ultérieurement est perturbant : choisissez-la donc avec soin.

Un ensemble de permissions est un ensemble réutilisable de permissions IAM qu’Identity Center transforme en rôle IAM dans chaque compte cible.

• Définissez un ensemble de permissions une seule fois (par exemple, ReadOnly ou administrateur de la facturation).
• Attribuez-le à un utilisateur ou à un groupe pour des comptes précis.
• Identity Center crée automatiquement le rôle correspondant dans ces comptes.

Lorsqu’un utilisateur se connecte au portail d’accès, il s’authentifie une seule fois auprès de la source d’identité. Identity Center le fédère ensuite dans le compte choisi en émettant des identifiants temporaires via STS (service de jetons de sécurité) pour l’ensemble de permissions sélectionné.

Aucune clé d’accès à long terme n’est créée. Lorsque la session expire, l’accès prend automatiquement fin.

Gérez les accès par groupes, et non individuellement. Attribuez un groupe et un ensemble de permissions à plusieurs comptes : chaque membre hérite de cet accès.

• Ajoutez une nouvelle recrue au groupe et elle obtient immédiatement les accès appropriés.
• Retirez une personne du groupe et son accès disparaît partout en une seule fois.

Cela facilite la gestion du moindre privilège lorsque les équipes évoluent.

Identity Center prend en charge l’ABAC (contrôle d’accès basé sur les attributs). Les attributs des utilisateurs, tels que le service ou le centre de coûts, sont transmis à AWS sous forme d’étiquettes de session.

Vos politiques IAM peuvent ensuite référencer ces étiquettes dans des conditions, afin qu’un seul ensemble de permissions accorde des accès différents selon l’identité de l’utilisateur. Cela réduit le nombre d’ensembles de permissions à gérer.

Vous contrôlez la durée d’une session du portail avant qu’une nouvelle authentification soit requise. Des sessions plus courtes réduisent la fenêtre de risque en cas de vol d’un appareil.

Identity Center peut imposer la MFA (authentification multifacteur), systématiquement ou uniquement lors de connexions à risque, en ajoutant un solide second facteur à l’accès du personnel.

Exécuter Identity Center depuis le compte de gestion d’Organizations concentre les risques. AWS vous permet de déléguer l’administration quotidienne à un compte membre distinct.

Cela suit la bonne pratique qui consiste à garder le compte de gestion presque vide et à utiliser des comptes dédiés pour les outils de sécurité.

Au-delà des comptes AWS, Identity Center peut servir de point d’entrée SSO pour les applications cloud compatibles avec SAML et les applications gérées par AWS.

Une seule connexion donne aux employés accès à la fois à leur console AWS et à leurs applications professionnelles, le tout régi par les mêmes règles de groupes et de MFA.

Choisissez Identity Center dès que vous avez plus de quelques comptes et des utilisateurs humains qui ont besoin d’un accès à la console ou à la CLI.

• Il remplace les utilisateurs IAM propres à chaque compte pour les personnes.
• Les rôles IAM continuent de gérer les accès des machines et des services.

Dans un examen, « centraliser la connexion du personnel entre de nombreux comptes » désigne presque toujours IAM Identity Center.

Vérifiez votre compréhension d’Identity Center.

Vous avez appris comment IAM Identity Center centralise le SSO du personnel dans toute une organisation.

• Une source d’identité alimente de nombreux comptes.
• Les ensembles de permissions deviennent des rôles dans chaque compte.
• L’accès est accordé aux groupes et fourni sous forme d’identifiants temporaires avec MFA.

Il remplace les utilisateurs IAM démultipliés pour les accès humains.