IAM Identity Center를 통한 싱글 사인온

회사가 성장하면 모든 직원에게 모든 계정의 IAM(Identity and Access Management) 사용자를 제공하는 일은 악몽이 됩니다. 직원이 퇴사하고 역할이 바뀌며, 수십 개 계정에 비밀번호가 무분별하게 늘어납니다.

IAM Identity Center(이전 명칭 AWS SSO)는 직원에게 한 곳에서 로그인하여 권한이 부여된 모든 계정에 접근할 수 있게 함으로써 이 문제를 해결합니다. 자격 증명은 장기간 유지되는 IAM 사용자로 흩어지지 않고 중앙 디렉터리에 저장됩니다.

IAM Identity Center는 AWS 조직의 여러 계정에서 직원을 위한 중앙 집중식 싱글 사인온을 제공하는 AWS 서비스입니다.

• 조직 수준에서 작동하며, 관리 계정 또는 위임된 계정에서 관리합니다.
• 사용자에게는 사용할 수 있는 계정과 역할만 나열된 개인화된 액세스 포털이 제공됩니다.
• 자체 내장 디렉터리를 사용하거나 외부 디렉터리에 연결할 수 있습니다.

Identity Center는 다음 세 가지 유형의 자격 증명 소스에서 사용자를 가져올 수 있습니다.

• 소규모 팀을 위한 내장 Identity Center 디렉터리
• Active Directory(자체 관리형 또는 AWS Managed Microsoft AD)
• SAML을 통해 연결하는 Okta 또는 Entra ID와 같은 외부 IdP(자격 증명 공급자)

Identity Center 인스턴스마다 하나의 소스를 선택합니다. 나중에 변경하면 큰 영향이 발생하므로 신중하게 선택하십시오.

권한 집합은 Identity Center가 각 대상 계정 내부의 IAM 역할로 변환하는 재사용 가능한 IAM 권한 묶음입니다.

• 권한 집합을 한 번 정의합니다(예: ReadOnly 또는 Billing Admin).
• 특정 계정에 대해 사용자 또는 그룹에 할당합니다.
• Identity Center가 해당 계정에 일치하는 역할을 자동으로 프로비저닝합니다.

사용자가 액세스 포털에 로그인하면 자격 증명 소스에 대해 한 번 인증합니다. 그러면 Identity Center가 사용자가 선택한 권한 집합에 따라 STS(Security Token Service)를 통해 임시 자격 증명을 발급하여 선택한 계정으로 페더레이션합니다.

장기 액세스 키는 생성되지 않습니다. 세션이 만료되면 액세스도 자동으로 종료됩니다.

개인이 아니라 그룹을 기준으로 액세스를 관리하십시오. 그룹과 권한 집합을 여러 계정에 할당하면 모든 구성원이 해당 액세스 권한을 상속합니다.

• 신규 입사자를 그룹에 추가하면 즉시 올바른 액세스 권한을 얻게 됩니다.
• 사용자를 제거하면 모든 곳에서 액세스가 한 번에 사라집니다.

팀이 바뀌어도 최소 권한을 쉽게 관리할 수 있습니다.

Identity Center는 ABAC(속성 기반 액세스 제어)를 지원합니다. 부서나 비용 센터와 같은 사용자 속성이 세션 태그로 AWS에 전달됩니다.

그러면 IAM 정책에서 조건에 해당 태그를 참조할 수 있으므로, 하나의 권한 집합으로도 사용자가 누구인지에 따라 서로 다른 액세스 권한을 부여할 수 있습니다. 따라서 유지 관리해야 하는 권한 집합의 수가 줄어듭니다.

다시 인증해야 하기 전까지 포털 세션이 유지되는 시간을 제어할 수 있습니다. 세션이 짧으면 장치를 도난당했을 때 위험이 발생할 수 있는 시간이 줄어듭니다.

Identity Center는 MFA(다중 인증)를 항상 적용하거나 위험한 로그인에만 적용할 수 있으며, 이를 통해 직원 액세스에 강력한 두 번째 인증 요소를 추가합니다.

Organizations의 관리 계정에서 Identity Center를 실행하면 위험이 집중됩니다. AWS에서는 일상적인 관리를 별도의 멤버 계정에 위임할 수 있습니다.

이는 관리 계정을 거의 비워 두고 보안 도구 전용 계정을 사용한다는 모범 사례를 따르는 방식입니다.

AWS 계정 외에도 Identity Center는 SAML을 지원하는 클라우드 애플리케이션과 AWS 관리형 애플리케이션을 위한 SSO 진입점이 될 수 있습니다.

한 번의 로그인으로 직원은 AWS 콘솔 액세스와 업무 애플리케이션을 모두 이용할 수 있으며, 이 모든 액세스가 동일한 그룹 및 MFA 규칙에 따라 관리됩니다.

계정이 두세 개를 넘고 콘솔 또는 CLI 액세스가 필요한 실제 사용자가 있다면 Identity Center를 사용하십시오.

• 사람을 위한 계정별 IAM 사용자를 대체합니다.
• IAM 역할은 여전히 기계 및 서비스 액세스를 처리합니다.

시험에서 "여러 계정의 직원 로그인을 중앙 집중화한다"는 표현은 거의 항상 IAM Identity Center를 가리킵니다.

IAM Identity Center가 조직 전체의 직원 SSO를 중앙 집중화하는 방식을 배웠습니다.

• 하나의 자격 증명 소스가 여러 계정에 정보를 제공합니다.
• 권한 집합은 각 계정의 역할이 됩니다.
• 액세스 권한은 그룹에 부여되며, MFA가 적용된 임시 자격 증명으로 제공됩니다.

사람의 액세스를 위해 계정마다 흩어져 있는 IAM 사용자를 대체합니다.