261-AWS SAP AWS 「理論・実践・一問道場」AWS IAM Identity Center

type

status

date

slug

summary

理論

この問題に関連する本質的な知識は、複数のAWSアカウントを効率的に管理し、統一的な認証を実現する方法です。以下が重要なポイントです。

AWS Organizations:

AWS Organizationsは、複数のAWSアカウントを一元的に管理するサービスです。これを使用することで、複数のアカウントの請求や権限を中央で管理できます。

アカウントを「オーガニゼーション」に招待し、管理者アカウントを設定することで、アカウント間のリソース共有や請求管理を簡素化できます。

アイデンティティフェデレーション:

アイデンティティフェデレーションにより、Azure Active Directory（Azure AD）などの外部認証基盤をAWSに統合し、ユーザー認証を簡素化します。

*AWS IAM Identity Center (AWS SSO)**を使用することで、Azure ADのユーザーとグループをAWSに同期させ、管理者は個別にユーザーを作成する必要がなくなります。

一時的な資格情報:

長期間使用するアクセスキーの代わりに、一時的な資格情報（AWS STS）を使用することで、セキュリティが向上します。

一時的なアクセス権限を使うことで、リスクを最小限に抑え、アクセス管理を動的に行えるようになります。

これらを組み合わせることで、企業全体のAWS環境に対して、効率的で安全な管理が可能になります。

実践

略

一問道場

質問 #261

トピック 1

ある企業は多数の独立したAWSアカウントを持ち、中央の請求または管理を使用していません。それぞれのAWSアカウントは、会社の異なる部門のサービスをホストしています。企業にはMicrosoft Azure Active Directoryが展開されています。

ソリューションアーキテクトは、企業のAWSアカウントの請求と管理を集中化する必要があります。企業は、手動のユーザー管理の代わりにアイデンティティフェデレーションを使用したいと考えており、長期間のアクセスキーの代わりに一時的な資格情報を使用したいと考えています。

これらの要件を満たすための手順の組み合わせはどれですか？（3つ選んでください。）

A. 新しいAWSアカウントを作成して管理アカウントとして使用し、AWS Organizationsで組織を展開します。各既存のAWSアカウントに組織に参加するように招待し、各アカウントがその招待を受け入れるようにします。

B. 各AWSアカウントのメールアドレスをaws+@example.comに設定し、アカウント管理のメールメッセージと請求書が同じ場所に送信されるようにします。

C. 管理アカウントにAWS IAM Identity Center（AWS Single Sign-On）を展開し、IAM Identity CenterをAzure Active Directoryに接続します。ユーザーとグループの自動同期のためにIAM Identity Centerを設定します。

D. 管理アカウントにAWS Managed Microsoft ADディレクトリを展開し、AWS Resource Access Manager（AWS RAM）を使用して組織内のすべての他のアカウントとディレクトリを共有します。

E. AWS IAM Identity Center（AWS Single Sign-On）の権限セットを作成し、適切なIAM Identity CenterグループとAWSアカウントに権限セットを割り当てます。

F. 各AWSアカウントでAWS Identity and Access Management（IAM）を設定し、AWS Managed Microsoft ADを認証および認可に使用します。

解説

この問題では、企業のAWSアカウントの請求と管理を集中化し、アイデンティティフェデレーションを使用して、長期間のアクセスキーの代わりに一時的な資格情報を使用することが求められています。以下の手順でそれを実現できます。

A: 新しい管理アカウントを作成し、AWS Organizationsを使って各アカウントを統合します。これにより、中央で管理できるようになります。

C: AWS IAM Identity Center (AWS SSO) を管理アカウントに展開し、Azure Active Directoryと連携させることで、ユーザーとグループを自動的に同期し、ユーザー管理を簡素化します。

E: IAM Identity Center の権限セットを作成して、それぞれのグループやアカウントに必要な権限を付与することで、アクセス管理を効率化します。

これらの手順により、AWSアカウントの管理が一元化され、アイデンティティフェデレーションを使用して安全な認証が行えるようになります。