Log Masuk Tunggal dengan Pusat Identiti IAM

Apabila syarikat berkembang, memberikan setiap pekerja pengguna IAM (Pengurusan Identiti dan Akses) dalam setiap akaun menjadi mimpi ngeri. Orang meninggalkan syarikat, peranan berubah, dan kata laluan bertaburan merentasi berpuluh-puluh akaun.

Pusat Identiti IAM (dahulunya AWS SSO) menyelesaikan masalah ini dengan menyediakan satu tempat untuk log masuk dan mencapai setiap akaun yang dibenarkan untuk mereka. Identiti disimpan dalam direktori berpusat, bukannya sebagai pengguna IAM yang kekal lama dan berselerak.

Pusat Identiti IAM ialah perkhidmatan AWS untuk log masuk tunggal tenaga kerja berpusat merentasi pelbagai akaun dalam Organisasi AWS.

• Perkhidmatan ini berada pada peringkat organisasi, dan diuruskan daripada akaun pengurusan atau akaun yang diwakilkan.
• Pengguna mendapat portal akses diperibadikan yang menyenaraikan hanya akaun dan peranan yang boleh mereka gunakan.
• Perkhidmatan ini boleh menggunakan direktori terbina dalam sendiri atau bersambung kepada direktori luaran.

Pusat Identiti boleh mendapatkan pengguna daripada tiga jenis sumber identiti:

• Direktori Pusat Identiti terbina dalam untuk pasukan kecil.
• Active Directory (diurus sendiri atau Microsoft AD Terurus AWS).
• IdP luaran (pembekal identiti) seperti Okta atau Entra ID melalui SAML.

Anda memilih satu sumber bagi setiap tika Pusat Identiti. Menukarnya kemudian boleh mengganggu operasi, jadi pilih dengan teliti.

Set kebenaran ialah himpunan kebenaran IAM yang boleh digunakan semula, yang ditukar oleh Pusat Identiti menjadi peranan IAM dalam setiap akaun sasaran.

• Tentukan satu set kebenaran (contohnya, ReadOnly atau Billing Admin).
• Berikannya kepada pengguna atau kumpulan untuk akaun tertentu.
• Pusat Identiti menyediakan peranan yang sepadan secara automatik dalam akaun tersebut.

Apabila pengguna log masuk ke portal akses, mereka mengesahkan identiti sekali terhadap sumber identiti. Pusat Identiti kemudiannya menggabungkan mereka ke dalam akaun yang dipilih dengan mengeluarkan kelayakan sementara melalui STS (Perkhidmatan Token Keselamatan) untuk set kebenaran yang dipilih.

Tiada kunci akses jangka panjang dicipta. Apabila sesi tamat tempoh, akses berakhir secara automatik.

Urus akses mengikut kumpulan, bukan individu. Berikan satu kumpulan bersama set kebenaran kepada sekumpulan akaun, dan setiap ahli mewarisi akses tersebut.

• Tambah pekerja baharu ke dalam kumpulan, lalu mereka mendapat akses yang betul serta-merta.
• Buang seseorang, lalu aksesnya hilang di semua tempat serentak.

Ini menjadikan pengurusan keistimewaan minimum lebih mudah apabila pasukan berubah.

Pusat Identiti menyokong ABAC (kawalan akses berasaskan atribut). Atribut pengguna seperti jabatan atau pusat kos mengalir ke AWS sebagai tag sesi.

Dasar IAM anda kemudiannya boleh merujuk tag tersebut dalam syarat, supaya satu set kebenaran boleh memberikan akses yang berbeza bergantung pada identiti pengguna. Ini mengurangkan bilangan set kebenaran yang perlu anda selenggara.

Anda mengawal tempoh sesi portal berlangsung sebelum pengesahan semula diperlukan. Sesi yang lebih singkat mengurangkan jangka masa risiko jika peranti dicuri.

Pusat Identiti boleh menguatkuasakan MFA (pengesahan berbilang faktor), sama ada setiap masa atau hanya untuk log masuk berisiko, dengan menambahkan faktor kedua yang kukuh pada akses tenaga kerja.

Menjalankan Pusat Identiti daripada akaun pengurusan Organisasi menumpukan risiko. AWS membolehkan anda mewakilkan pentadbiran harian kepada akaun ahli yang berasingan.

Ini mengikut amalan terbaik untuk memastikan akaun pengurusan hampir kosong dan menggunakan akaun khusus untuk alat keselamatan.

Selain akaun AWS, Pusat Identiti boleh menjadi pintu hadapan SSO untuk aplikasi awan yang didayakan SAML dan aplikasi terurus AWS.

Satu log masuk memberikan pekerja akses kepada konsol AWS dan aplikasi perniagaan mereka, semuanya ditadbir oleh kumpulan dan peraturan MFA yang sama.

Gunakan Pusat Identiti apabila anda mempunyai lebih daripada beberapa akaun dan pengguna manusia yang memerlukan akses konsol atau CLI.

• Perkhidmatan ini menggantikan pengguna IAM bagi setiap akaun untuk manusia.
• Peranan IAM masih mengendalikan akses mesin dan perkhidmatan.

Dalam peperiksaan, frasa "memusatkan log masuk tenaga kerja merentasi banyak akaun" hampir selalu merujuk kepada Pusat Identiti IAM.

Anda telah mempelajari cara Pusat Identiti IAM memusatkan SSO tenaga kerja merentasi organisasi.

• Satu sumber identiti membekalkan banyak akaun.
• Set kebenaran menjadi peranan dalam setiap akaun.
• Akses diberikan kepada kumpulan dan disampaikan sebagai kelayakan sementara dengan MFA.

Perkhidmatan ini menggantikan pengguna IAM yang berselerak bagi akses manusia.