IAM Identity Center ile Tek Oturum Açma

Bir şirket büyüdükçe her çalışana her hesapta bir IAM (Kimlik ve Erişim Yönetimi) kullanıcısı vermek kâbusa dönüşür. İnsanlar ayrılır, roller değişir ve parolalar onlarca hesaba dağılır.

IAM Kimlik Merkezi (eski adıyla AWS SSO), çalışanlarınıza tek bir yerde oturum açıp yetkili oldukları her hesaba ulaşma olanağı vererek bu sorunu çözer. Kimlikler, uzun ömürlü IAM kullanıcıları olarak dağınık biçimde değil, merkezi bir dizinde tutulur.

IAM Kimlik Merkezi, bir AWS Kuruluşundaki birden çok hesap genelinde merkezi çalışan tek oturum açma hizmeti sunan AWS hizmetidir.

• Kuruluş düzeyinde çalışır; yönetim hesabından veya yetkilendirilmiş bir hesaptan yönetilir.
• Kullanıcılar yalnızca kullanabilecekleri hesapları ve rolleri listeleyen kişiselleştirilmiş bir erişim portalı görür.
• Kendi yerleşik dizinini kullanabilir veya harici bir dizine bağlanabilir.

Kimlik Merkezi, kullanıcıları üç tür kimlik kaynağından alabilir:

• Küçük ekipler için yerleşik Kimlik Merkezi dizini.
• Active Directory (kendi yönettiğiniz veya AWS tarafından yönetilen Microsoft AD).
• SAML aracılığıyla Okta veya Entra ID gibi bir harici kimlik sağlayıcısı.

Her Kimlik Merkezi örneği için bir kaynak seçersiniz. Bu kaynağı daha sonra değiştirmek kesintiye yol açar; bu nedenle seçiminizi dikkatle yapın.

Bir izin kümesi, Kimlik Merkezi'nin her hedef hesap içinde bir IAM roluna dönüştürdüğü, yeniden kullanılabilir bir IAM izinleri grubudur.

• Bir izin kümesini bir kez tanımlayın (örneğin, ReadOnly veya Faturalama Yöneticisi).
• Belirli hesaplar için bunu bir kullanıcıya veya gruba atayın.
• Kimlik Merkezi, eşleşen rolü bu hesaplarda otomatik olarak oluşturur.

Kullanıcı erişim portalında oturum açtığında, kimlik kaynağında bir kez kimlik doğrulaması yapar. Kimlik Merkezi daha sonra, seçtiği izin kümesi için STS (Güvenlik Belirteci Hizmeti) aracılığıyla geçici kimlik bilgileri vererek kullanıcıyı seçilen hesaba federasyon yoluyla bağlar.

Uzun süreli erişim anahtarları oluşturulmaz. Oturumun süresi dolduğunda erişim otomatik olarak sona erer.

Erişimi kişilere göre değil, gruplara göre yönetin. Bir grubu ve izin kümesini bir dizi hesaba atadığınızda, her üye bu erişimi devralır.

• Yeni bir çalışanı gruba eklediğinizde, doğru erişime anında sahip olur.
• Birini kaldırdığınızda erişimi her yerden aynı anda kaybolur.

Bu yaklaşım, ekipler değiştikçe en az ayrıcalık ilkesinin yönetilebilir kalmasını sağlar.

Kimlik Merkezi, ABAC (öznitelik tabanlı erişim denetimi) özelliğini destekler. Departman veya maliyet merkezi gibi kullanıcı öznitelikleri oturum etiketleri olarak AWS'ye aktarılır.

IAM ilkeleriniz daha sonra koşullarda bu etiketlere başvurabilir; böylece tek bir izin kümesi, kullanıcının kim olduğuna bağlı olarak farklı erişimler verebilir. Bu, korumanız gereken izin kümesi sayısını azaltır.

Yeniden kimlik doğrulaması gerekmeden önce bir portal oturumunun ne kadar süreceğini denetlersiniz. Daha kısa oturumlar, bir cihaz çalındığında risk penceresini azaltır.

Kimlik Merkezi, MFA (çok faktörlü kimlik doğrulama) uygulamasını her zaman veya yalnızca riskli oturum açma işlemlerinde zorunlu kılabilir ve çalışan erişimine güçlü bir ikinci faktör ekler.

Kimlik Merkezi'ni Kuruluşlar'ın yönetim hesabından çalıştırmak riski merkezileştirir. AWS, günlük yönetimi ayrı bir üye hesabına devretmenize olanak tanır.

Bu yaklaşım, yönetim hesabını neredeyse boş tutma ve güvenlik araçları için amaca yönelik hesaplar kullanma en iyi uygulamasını izler.

AWS hesaplarının ötesinde Kimlik Merkezi, SAML etkinleştirilmiş bulut uygulamaları ve AWS tarafından yönetilen uygulamalar için SSO giriş kapısı olabilir.

Tek bir oturum açma işlemi, çalışanlara hem AWS konsolu erişimi hem de iş uygulamalarını sunar; bunların tümü aynı gruplar ve MFA kurallarıyla yönetilir.

Birkaç hesaptan fazlasına ve konsol ya da CLI erişimine ihtiyaç duyan insan kullanıcılara sahip olduğunuzda Kimlik Merkezi'ni tercih edin.

• İnsanlar için hesap başına IAM kullanıcılarının yerini alır.
• IAM rolleri, makine ve hizmet erişimini yönetmeye devam eder.

Sınavda "birçok hesap genelinde çalışan oturum açma işlemini merkezileştirme" ifadesi neredeyse her zaman IAM Kimlik Merkezi'ni işaret eder.

Kimlik Merkezi konusundaki kavrayışınızı sınayın.

IAM Kimlik Merkezi'nin bir kuruluş genelinde çalışanların SSO erişimini nasıl merkezileştirdiğini öğrendiniz.

• Tek bir kimlik kaynağı birçok hesabı besler.
• İzin kümeleri, her hesapta rollere dönüşür.
• Erişim gruplara verilir ve MFA ile birlikte geçici kimlik bilgileri olarak sunulur.

İnsan erişimi için dağınık IAM kullanıcılarının yerini alır.