AWS IAM Identity Center
シングルサインオン
従業員が 1 回のログインで複数の AWS アカウントやアプリケーションにアクセスでき、グループ単位で権限を割り当てます。
- コスト$ 安い
- 難易度●●●●●
- 未使用でも課金？いいえ
- AWS マネージド
- 出題試験CLF · SAA · SOA
たとえるなら会社のすべての支店で使える 1 枚の社員証のようなものです。
IAM Identity Center はシステムのどこにある？
IAM Identity Center を呼び出す
IAM Identity CenterIAM Identity Center が呼び出す
具体例でステップごとに
- AWS Organizations に 15 の AWS アカウントがあり、それぞれに IAM ユーザーがいて管理が大変です。
- IAM Identity Center を有効にし、従業員がすでに使っている Microsoft Entra ID と接続します。
- 「Developer」と「ReadOnly」の権限セットを作り、各アカウントのグループに割り当てます。
- 従業員は AWS アクセスポータルに 1 回サインインしてアカウントを選び、一時的な権限を受け取ります。
- 退職者は Entra ID で無効にするだけで、すべての AWS アカウントへのアクセスを失います。
いつ使う？
✓ 使うべき場面
Organizations に多数の AWS アカウントがあり、社内の ID システムがある場合。
✗ 避けるべき場面
アプリのエンドユーザー → Cognito。
よくある使い方
- 従業員が複数の AWS アカウントにシングルサインオン（SSO）
- Microsoft Entra ID、Okta、Google Workspace との連携
- permission set によるグループ単位の権限付与
IAM Identity Center・IAM・Cognito の違い
| IAM Identity Center |  IAM |  Cognito | |
|---|---|---|---|
| 対象 | 多数の AWS アカウントを使う従業員 | 1 つのアカウント内の権限 | アプリのエンドユーザー |
| サインイン | アクセスポータルで 1 回（SSO） | アカウントごとに個別 | アプリのサインイン画面 |
| ユーザーの管理元 | 組み込みディレクトリ、Entra ID、Okta、AD | アカウント内の IAM ユーザー | ユーザープール、Google、Facebook など |
| 料金 | 無料 | 無料 | 月間アクティブユーザー単位 |
料金はいくら？
- 課金方式: 無料です。
- 無料枠: 無料です。
特にありません。
「AWS Organizations の多数のアカウント」+「シングルサインオン」+「既存のユーザーディレクトリを使う」なら IAM Identity Center（旧称 AWS SSO）です。アプリの顧客であるユーザーなら Cognito です。
本番の試験問題に挑戦
1A company is migrating applications to AWS. The applications are deployed in different accounts. The company manages the accounts centrally by using AWS Organizations. The company's security team needs a single sign-on (SSO) solution across all the company's accounts. The company must continue managing the users and groups in its on-premises self-managed Microsoft Active Directory. Which solution will meet these requirements?
- AEnable AWS Single Sign-On (AWS SSO) from the AWS SSO console. Create a one-way forest trust or a one-way domain trust to connect the company's self-managed Microsoft Active Directory with AWS SSO by using AWS Directory Service for Microsoft Active Directory.
- BEnable AWS Single Sign-On (AWS SSO) from the AWS SSO console. Create a two-way forest trust to connect the company's self-managed Microsoft Active Directory with AWS SSO by using AWS Directory Service for Microsoft Active Directory.
- CUse AWS Directory Service. Create a two-way trust relationship with the company's self-managed Microsoft Active Directory.
- DDeploy an identity provider (IdP) on premises. Enable AWS Single Sign-On (AWS SSO) from the AWS SSO console.
答えを見る
正解: B
AWS SSO（現在の IAM Identity Center）は、AWS Managed Microsoft AD と双方向のフォレスト信頼を結んでオンプレミスの AD と接続します。これにより、ユーザーとグループは既存の AD で管理したまま、すべてのアカウントに 1 回でサインインできます。
よくある質問
IAM Identity Center と Cognito の違いは何ですか？
Identity Center は従業員や運用チームが AWS や社内アプリケーションにアクセスするためのものです。Cognito は自社アプリケーションのエンドユーザーがサインアップ・サインインするためのものです。
IAM Identity Center に料金はかかりますか？
料金はかかりません。Identity Center の組み込みユーザーディレクトリを使うことも、Microsoft Entra ID、Okta、Active Directory と接続することもできます。
AWS 認定試験では IAM Identity Center について何が問われますか？
AWS Organizations で多数のアカウントを持つ企業が一元的なサインインを必要とする場面、権限セット、SAML や SCIM による既存の ID プロバイダーとの接続などです。