AWS IAM Identity Center
Đăng nhập một lần (SSO)
Cho nhân viên đăng nhập một lần vào nhiều tài khoản AWS và ứng dụng, gán quyền theo nhóm.
- Chi phí$ Rẻ
- Độ khó●●●●●
- Để không có tốn tiền?Không
- AWS quản lý
- Có trong đềCLF · SAA · SOA
Hình dungNhư một thẻ nhân viên dùng được cho mọi chi nhánh của công ty.
IAM Identity Center đứng ở đâu trong hệ thống?
Gọi tới IAM Identity Center
IAM Identity CenterIAM Identity Center gọi tới
Một ví dụ thật, từng bước
- Công ty có 15 tài khoản AWS trong AWS Organizations, mỗi tài khoản đang có IAM user riêng, rất khó quản lý.
- Bạn bật IAM Identity Center và nối với Microsoft Entra ID mà nhân viên đang dùng.
- Bạn tạo permission set “Developer” và “ReadOnly”, gán cho các nhóm trên từng tài khoản.
- Nhân viên đăng nhập một lần ở cổng AWS access portal và chọn tài khoản, nhận quyền tạm thời.
- Nhân viên nghỉ việc chỉ cần khoá tài khoản ở Entra ID là mất quyền vào mọi tài khoản AWS.
Khi nào nên dùng
✓ Nên dùng khi
Có nhiều tài khoản AWS trong Organizations, có hệ thống danh tính công ty.
✗ Không nên dùng khi
Người dùng cuối của app → Cognito.
Ví dụ hay gặp
- Đăng nhập một lần (SSO) cho nhân viên vào nhiều tài khoản AWS
- Kết nối Microsoft Entra ID, Okta, Google Workspace
- Cấp quyền theo nhóm bằng permission set
IAM Identity Center, IAM hay Cognito?
| IAM Identity Center |  IAM |  Cognito | |
|---|---|---|---|
| Dành cho | Nhân viên, nhiều tài khoản AWS | Quyền trong một tài khoản | Người dùng cuối của app |
| Đăng nhập | Một lần (SSO) qua cổng truy cập | Riêng từng tài khoản | Màn hình đăng nhập của app |
| Nguồn người dùng | Thư mục sẵn có hoặc Entra ID, Okta, AD | IAM user trong tài khoản | User pool, Google, Facebook… |
| Phí | Miễn phí | Miễn phí | Theo số người dùng hoạt động |
Tốn bao nhiêu tiền?
- Cách tính: Miễn phí.
- Miễn phí: Miễn phí.
Không đáng kể.
Đề có “nhiều tài khoản trong AWS Organizations” + “đăng nhập một lần” + “dùng thư mục người dùng có sẵn” → IAM Identity Center (tên cũ: AWS SSO). Người dùng là khách hàng của app → Cognito.
Thử sức với câu hỏi thi thật
1A company is migrating applications to AWS. The applications are deployed in different accounts. The company manages the accounts centrally by using AWS Organizations. The company's security team needs a single sign-on (SSO) solution across all the company's accounts. The company must continue managing the users and groups in its on-premises self-managed Microsoft Active Directory. Which solution will meet these requirements?
- AEnable AWS Single Sign-On (AWS SSO) from the AWS SSO console. Create a one-way forest trust or a one-way domain trust to connect the company's self-managed Microsoft Active Directory with AWS SSO by using AWS Directory Service for Microsoft Active Directory.
- BEnable AWS Single Sign-On (AWS SSO) from the AWS SSO console. Create a two-way forest trust to connect the company's self-managed Microsoft Active Directory with AWS SSO by using AWS Directory Service for Microsoft Active Directory.
- CUse AWS Directory Service. Create a two-way trust relationship with the company's self-managed Microsoft Active Directory.
- DDeploy an identity provider (IdP) on premises. Enable AWS Single Sign-On (AWS SSO) from the AWS SSO console.
Xem đáp án
Đáp án đúng: B
AWS SSO (nay là IAM Identity Center) kết nối với AD on-premises qua AWS Managed Microsoft AD bằng two-way forest trust, nhờ đó vẫn quản lý user và group ở AD cũ mà đăng nhập một lần vào mọi tài khoản.
Câu hỏi thường gặp
IAM Identity Center khác gì Cognito?
Identity Center dành cho nhân viên và đội vận hành truy cập AWS hoặc ứng dụng nội bộ. Cognito dành cho người dùng cuối đăng ký và đăng nhập vào ứng dụng của bạn.
IAM Identity Center có tính phí không?
Không tính phí. Bạn có thể dùng thư mục người dùng có sẵn của Identity Center hoặc nối với Microsoft Entra ID, Okta hay Active Directory.
Đề thi AWS hay hỏi gì về IAM Identity Center?
Tình huống công ty có nhiều tài khoản trong AWS Organizations cần đăng nhập tập trung, permission set, và nối với nhà cung cấp danh tính có sẵn qua SAML hoặc SCIM.