Single Sign-On z IAM Identity Center

W miarę rozwoju firmy nadawanie każdemu pracownikowi użytkownika IAM (Identity and Access Management) na każdym koncie staje się koszmarem. Ludzie odchodzą, zmieniają role, a hasła mnożą się na dziesiątkach kont.

IAM Identity Center (dawniej AWS SSO) rozwiązuje ten problem, zapewniając pracownikom jedno miejsce logowania i dostęp do każdego konta, do którego mają uprawnienia. Tożsamości znajdują się w centralnym katalogu, a nie w rozproszonych, długowiecznych użytkownikach IAM.

IAM Identity Center to usługa AWS zapewniająca centralne logowanie jednokrotne pracowników w wielu kontach należących do AWS Organization.

• Działa na poziomie organizacji i jest zarządzana z konta zarządzającego lub delegowanego.
• Użytkownicy otrzymują spersonalizowany portal dostępu, który wyświetla tylko konta i role, z których mogą korzystać.
• Usługa może używać własnego wbudowanego katalogu albo łączyć się z katalogiem zewnętrznym.

Identity Center może pobierać użytkowników z trzech rodzajów źródeł tożsamości:

• Wbudowany katalog Identity Center dla małych zespołów.
• Active Directory (zarządzany samodzielnie lub AWS Managed Microsoft AD).
• Zewnętrzny IdP (dostawca tożsamości), taki jak Okta lub Entra ID, za pośrednictwem SAML.

Dla każdej instancji Identity Center wybiera się jedno źródło. Późniejsza jego zmiana jest uciążliwa, dlatego należy dokonać wyboru ostrożnie.

Zestaw uprawnień to wielokrotnie używany pakiet uprawnień IAM, który Identity Center przekształca w rolę IAM na każdym docelowym koncie.

• Zdefiniować zestaw uprawnień raz, na przykład ReadOnly lub Billing Admin.
• Przypisać go użytkownikowi lub grupie dla określonych kont.
• Identity Center automatycznie tworzy odpowiadającą rolę na tych kontach.

Gdy użytkownik loguje się do portalu dostępu, raz uwierzytelnia się względem źródła tożsamości. Następnie Identity Center federuje go z wybranym kontem, wystawiając za pośrednictwem STS (Security Token Service) tymczasowe poświadczenia dla wybranego zestawu uprawnień.

Nie są tworzone długoterminowe klucze dostępu. Po wygaśnięciu sesji dostęp automatycznie się kończy.

Dostępem należy zarządzać za pomocą grup, a nie pojedynczych osób. Przypisz grupę wraz z zestawem uprawnień do określonego zbioru kont, a każdy członek odziedziczy ten dostęp.

• Dodanie nowego pracownika do grupy natychmiast zapewni mu właściwy dostęp.
• Usunięcie osoby spowoduje jednoczesne odebranie dostępu wszędzie.

Dzięki temu łatwiej utrzymać zasadę najmniejszych uprawnień w zmieniających się zespołach.

Identity Center obsługuje ABAC (kontrolę dostępu opartą na atrybutach). Atrybuty użytkownika, takie jak dział lub centrum kosztów, są przekazywane do AWS jako znaczniki sesji.

Polityki IAM mogą następnie odwoływać się do tych znaczników w warunkach, dzięki czemu jeden zestaw uprawnień może nadawać różny dostęp w zależności od tożsamości użytkownika. Zmniejsza to liczbę zestawów uprawnień, które trzeba utrzymywać.

Można określić, jak długo trwa sesja portalu, zanim będzie wymagane ponowne uwierzytelnienie. Krótsze sesje zmniejszają okno ryzyka w przypadku kradzieży urządzenia.

Identity Center może wymuszać MFA (uwierzytelnianie wieloskładnikowe) zawsze albo tylko podczas ryzykownych logowań, dodając silny drugi składnik do dostępu pracowników.

Uruchamianie Identity Center z konta zarządzającego Organizations koncentruje ryzyko. AWS umożliwia delegowanie codziennej administracji do osobnego konta członkowskiego.

Jest to zgodne z dobrą praktyką polegającą na utrzymywaniu konta zarządzającego niemal pustego i używaniu wyspecjalizowanych kont do narzędzi bezpieczeństwa.

Oprócz kont AWS Identity Center może pełnić funkcję bramy SSO dla aplikacji chmurowych obsługujących SAML oraz aplikacji zarządzanych przez AWS.

Jedno logowanie zapewnia pracownikom zarówno dostęp do konsoli AWS, jak i do aplikacji biznesowych, a wszystko podlega tym samym regułom grup i MFA.

Warto wybrać Identity Center, gdy dostępnych jest więcej niż kilka kont oraz gdy użytkownicy potrzebujący dostępu przez konsolę lub CLI są ludźmi, a nie usługami.

• Zastępuje użytkowników IAM tworzonych osobno na każdym koncie dla dostępu osób.
• Role IAM nadal obsługują dostęp maszyn i usług.

Na egzaminie sformułowanie „scentralizowanie logowania pracowników w wielu kontach” niemal zawsze wskazuje na IAM Identity Center.

Sprawdź swoje zrozumienie Identity Center.

Dowiedział się Pan / Dowiedziała się Pani, jak IAM Identity Center centralizuje SSO pracowników w całej organizacji.

• Jedno źródło tożsamości zasila wiele kont.
• Zestawy uprawnień stają się rolami na każdym koncie.
• Dostęp jest nadawany grupom i dostarczany jako tymczasowe poświadczenia z MFA.

Usługa zastępuje rozproszonych użytkowników IAM w dostępie osób.