使用 IAM Identity Center 实现单点登录

随着公司发展，让每位员工在每个账户中都拥有一个 IAM（身份和访问管理）用户，会变成一场噩梦。人员会离职，角色会变化，密码也会散落在几十个账户中。

IAM 身份中心（原 AWS SSO）通过提供一个登录位置，让员工访问他们有权使用的每个账户，从而解决了这个问题。身份存放在中央目录中，而不是分散为长期存在的 IAM 用户。

IAM 身份中心是 AWS 提供的服务，用于在 AWS 组织的多个账户之间实现集中式员工单点登录。

• 它位于组织级别，由管理账户或委派账户进行管理。
• 用户会获得个性化的访问门户，其中只列出他们可以使用的账户和角色。
• 它可以使用内置目录，也可以连接到外部目录。

身份中心可以从三类身份来源获取用户：

• 适用于小型团队的内置身份中心目录。
• 活动目录（自托管或 AWS 托管的 Microsoft AD）。
• 通过 SAML 接入的外部身份提供商，例如 Okta 或 Entra ID。

每个身份中心实例只能选择一个来源。之后更改来源会造成较大影响，因此请谨慎选择。

权限集是一组可重复使用的 IAM 权限，身份中心会将其转换为每个目标账户中的 IAM 角色。

• 只需定义一次权限集（例如 ReadOnly 或账单管理员）。
• 将它分配给用户或组，并指定可访问的账户。
• 身份中心会自动在这些账户中预置相应的角色。

用户登录访问门户时，只需针对身份来源验证一次身份。随后，身份中心会通过 STS（安全令牌服务），根据用户选择的权限集签发临时凭证，将用户联合到所选账户中。

不会创建长期访问密钥。会话过期后，访问权限会自动结束。

请通过组而不是个人来管理访问权限。将一个组和一个权限集分配给一组账户后，该组的每位成员都会继承相应访问权限。

• 将新员工加入该组后，他们会立即获得正确的访问权限。
• 移除某人后，其访问权限会立即在所有位置消失。

这样，随着团队变化，最小权限原则也更易于管理。

身份中心支持ABAC（基于属性的访问控制）。部门或成本中心等用户属性会以会话标签的形式传入 AWS。

随后，您的 IAM 策略可以在条件中引用这些标签，使一个权限集能够根据用户身份授予不同的访问权限。这样可以减少需要维护的权限集数量。

您可以控制门户会话在需要重新进行身份验证之前持续多长时间。如果设备被盗，较短的会话可以缩小风险窗口。

身份中心可以强制执行 MFA（多重身份验证），也可以仅在存在风险的登录时执行，从而为员工访问增加一个强有力的第二重验证因素。

从组织的管理账户运行身份中心会集中风险。AWS 允许您将日常管理工作委派给一个独立的成员账户。

这遵循了让管理账户几乎保持为空、并使用专用账户运行安全工具的最佳实践。

除了 AWS 账户之外，身份中心还可以作为启用 SAML 的云应用程序和 AWS 托管应用程序的 SSO 入口。

员工登录一次，就能同时访问 AWS 控制台和业务应用程序，并由同一套组和 MFA 规则统一管理。

只要您拥有不止几个账户，并且有需要控制台或 CLI 访问权限的人工用户，就应考虑使用身份中心。

• 它可以替代面向个人用户的每账户 IAM 用户。
• IAM 角色仍然用于处理机器和服务访问。

在考试中，“集中管理多个账户的员工登录”几乎总是指向 IAM 身份中心。

测试您对身份中心的理解。

您已经了解 IAM 身份中心如何在组织中集中管理员工 SSO。

• 一个身份来源为多个账户提供身份信息。
• 权限集会成为每个账户中的角色。
• 访问权限授予组，并以带有 MFA 的临时凭证形式提供。

它替代了用于人工访问的大量 IAM 用户。