Single Sign-On con IAM Identity Center

Con la crescita dell'azienda, assegnare a ogni dipendente un utente IAM (Identity and Access Management) in ogni account diventa un incubo. Le persone lasciano l'azienda, i ruoli cambiano e le password si moltiplicano in decine di account.

IAM Identity Center (in precedenza AWS SSO) risolve il problema offrendo alla forza lavoro un unico punto di accesso per raggiungere tutti gli account a cui è autorizzata. Le identità risiedono in una directory centrale, invece di essere distribuite come utenti IAM permanenti.

IAM Identity Center è il servizio AWS per il single sign-on centralizzato della forza lavoro tra più account di un'AWS Organization.

• Opera a livello di organizzazione e viene gestito dall'account di gestione o da un account delegato.
• Gli utenti ricevono un portale di accesso personalizzato che elenca solo gli account e i ruoli che possono utilizzare.
• Può usare la propria directory integrata oppure collegarsi a una directory esterna.

Identity Center può acquisire gli utenti da tre tipi di origine delle identità:

• La directory integrata di Identity Center, per i team più piccoli.
• Active Directory (autogestita o AWS Managed Microsoft AD).
• Un IdP esterno (identity provider), come Okta o Entra ID, tramite SAML.

È possibile scegliere una sola origine per ogni istanza di Identity Center. Modificarla in seguito è problematico, quindi scelga con attenzione.

Un permission set è un insieme riutilizzabile di autorizzazioni IAM che Identity Center trasforma in un ruolo IAM all'interno di ogni account di destinazione.

• Definisca un permission set una volta sola (ad esempio, ReadOnly o Billing Admin).
• Lo assegni a un utente o a un gruppo per account specifici.
• Identity Center crea automaticamente il ruolo corrispondente in tali account.

Quando un utente accede al portale di accesso, esegue l'autenticazione una sola volta tramite l'origine delle identità. Identity Center lo autentica quindi nell'account scelto emettendo credenziali temporanee tramite STS (Security Token Service) per il permission set selezionato.

Non vengono create chiavi di accesso a lungo termine. Quando la sessione scade, l'accesso termina automaticamente.

Gestisca l'accesso tramite i gruppi, non tramite singoli individui. Assegni un gruppo e un permission set a un insieme di account, così ogni membro erediterà tale accesso.

• Aggiungendo un nuovo assunto al gruppo, questi ottiene immediatamente l'accesso corretto.
• Rimuovendo una persona, l'accesso scompare ovunque all'istante.

In questo modo il principio del privilegio minimo resta gestibile anche quando i team cambiano.

Identity Center supporta ABAC (controllo degli accessi basato sugli attributi). Gli attributi dell'utente, come reparto o centro di costo, vengono trasferiti in AWS come session tag.

Le policy IAM possono quindi fare riferimento a tali tag nelle condizioni, consentendo a un unico permission set di concedere accessi diversi in base all'identità dell'utente. Questo riduce il numero di permission set da gestire.

È possibile controllare la durata di una sessione del portale prima che sia richiesta una nuova autenticazione. Sessioni più brevi riducono la finestra di rischio in caso di furto del dispositivo.

Identity Center può imporre l'MFA (autenticazione a più fattori), sempre oppure solo per gli accessi rischiosi, aggiungendo un secondo fattore di sicurezza all'accesso della forza lavoro.

Eseguire Identity Center dall'account di gestione di Organizations concentra i rischi. AWS consente di delegare l'amministrazione quotidiana a un account membro separato.

Questo segue la best practice di mantenere l'account di gestione quasi vuoto e di usare account dedicati per gli strumenti di sicurezza.

Oltre agli account AWS, Identity Center può essere il punto di accesso SSO per le applicazioni cloud abilitate per SAML e per le applicazioni gestite da AWS.

Un unico accesso offre ai dipendenti sia l'accesso alla console AWS sia alle applicazioni aziendali, il tutto regolato dagli stessi gruppi e dalle stesse regole MFA.

Scelga Identity Center quando dispone di più di un paio di account e di utenti umani che necessitano dell'accesso alla console o alla CLI.

• Sostituisce gli utenti IAM individuali per account per le persone.
• I ruoli IAM continuano a gestire l'accesso di macchine e servizi.

Nell'esame, l'esigenza di "centralizzare l'accesso della forza lavoro tra molti account" indica quasi sempre IAM Identity Center.

Verifichi la sua comprensione di Identity Center.

Ha imparato come IAM Identity Center centralizza l'SSO della forza lavoro nell'intera organizzazione.

• Un'unica origine delle identità alimenta molti account.
• I permission set diventano ruoli in ogni account.
• L'accesso viene concesso ai gruppi e fornito tramite credenziali temporanee con MFA.

Sostituisce gli utenti IAM disseminati necessari per l'accesso umano.