IAMユーザーからSSOに移行した話

2025.9.27 JAWS-UG山梨 登壇資料
#jawsug #jawsug_yamanashi

Transcript

1. confidential 許可なき配布 ・ 参照はお断りしております IAM ユーザーから IIC へ移行した話 木村情報技術株式会社 中原加寸美
2. 中原 加寸美 - Kasumi Nakahara - 所属 木村情報技術株式会社 出身 佐賀県 好きなAWSサービス Security Hub 趣味 着物 着物でJAWS-UGイベントに出没します 2
3. A W S ア カ ウ ン ト へ の ユ ー ザ ー ア ク セ ス に は 何 を 使 っ て い ま す か ？
4. SAML
5. I A M ユ ー ザ ー か ら I I C へ 移 行 し た 事 例 を 紹 介 し ま す
6. アジェンダ • IAM と Identity Center • 移行の背景 • Identity Center への移行 • 権限の作成方針
7. IAM と Ide nt i t y Ce nt e r 9
8. IAM AWS の認証・認可を司るサービス 各AWSリソースへアクセス権限を付与できる ユーザー・グループ・ロールへ権限を付与し、各AWSリソースや ヒューマンユーザーへのアクセス制御を行うことができる 10
9. IAM Identity Center AWS の マ ル チ ア カ ウ ン ト 環 境 で 、 複 数 の AWS ア カ ウ ン ト 及 び ア プ リ ケ ー シ ョ ン に 対 す る ユ ー ザ ー の ア ク セ ス 権 を 管 理 す る サービス AWSアカウントへユーザー・ユーザーグループごとに権限セット を割り当てることができる 2022 年 7 月 に AWS Single Sign-On （ Ｓ Ｓ Ｏ ） か ら AWS IAM Identity Center へ名称変更された 11
10. AWSアカウントへのログイン方法 12 IAMユーザー • AWSアカウント内のユーザー • マ ネ ジ メ ン ト コ ン ソ ー ル へ ア ク セ ス す る た め の 、 独 自 の パ ス ワ ー ド を 割り当てられる • AWS リ ソ ー ス に 対 す る 長 期 的 な 認証情報を付与できる • アクセスキー、Git認証情報 など IAM Identity Centerのユーザー • AWS ア カ ウ ン ト 組 織 内 、 ま た は 、 ア プ リ ケ ー シ ョ ン で ア ク セ ス を 許 可 されたユーザー • シングルサインオン（SSO）を実現できる • AWS リ ソ ー ス に 対 す る 短 期 的 な 認証情報が付与される
11. ベストプラクティス 2025年9月現在、AWSドキュメントへ以下のように記載されている Require human users to use federation with an identity provider to access AWS using temporary credentials ⇒ 一時認証を使ってAWSへアクセスする場合、人間のユーザーはIDプロバイダーのフェ デレーションを必須とする 14 IAM ユーザーでユーザーアクセスを利用しようと すると、Identity Center の利用を推奨される
12. 移 行 の 背 景 15
13. Organizations 移行の背景 数年前のAWSアカウントの状況 16 AWS Cloud A AWS Cloud B AWS Cloud E AWS Cloud F AWS Cloud C AWS Cloud D AWS Cloud G AWS Cloud H 管理者 各アカウント個別のIAMユーザーを発行し、管理していた
14. 課題 18 課題① アカウント数は１０を超え、 ユーザー管理が大変 課題② 各ユーザーでアクセスキーを 保持していたが、ローテーショ ンの運用もできていなかった セキュリティ推進チーム IAMユーザーからIICへ移行 する計画を立てた
15. 移 行
16. 気を付けたこと こまめに周知する • IAMユーザーを利用しているユーザーは約百数十名 • 周知して進めないと混乱が生まれると想定された アンケート 掲示板 チャット
17. 移行時の動き ユーザー向け これ以外にも、必要な情報収集のためにヒアリングなどを行った 21 アンケート×2 掲示板×2 チャット チャット SSO運用へ移行計画中であることを 同時に周知した • 移行開始時期と内容の周知 • 移行開始の連絡
18. 移行時の動き 22 ユーザー権限の検討 権限の作成 運用手順書の作成 ユーザー発行・ 権限付与 Login
19. 権 限 の 作 成 方 針
20. 権限作成方針 開発作業を止めない 管理側でしてほしくないこと をできないようにする ガードレール 基本方針 利用者が手を止めることなく、セキュアに利用できる状態を目指す 権限作成方針
21. 権限の内容 https://speakerdeck.com/donnnn/organizationshuan-jing- noyuzaakusesunituitekao-eru 26 ダ イ ア グ ラ ム が 含 ま れ て い る 画 像 AI 生 成 コ ン テ ン ツ は 誤 り を 含 む 可 能 性 が あ り ま す 。
22. ま と め 27
23. まとめ ヒューマンユーザーアクセスは Identity Center などのフェデレーションが推奨されて いる（2025年9月現在） 移行についてのポイント • こまめに周知し、混乱が生まれないように気を付ける 権限作成方針 • ガードレールの基本方針に沿って権限を作成する
24. 29 Thank you！