ある企業はオンプレミスのActive Directoryを認証基盤として保有し、複数のAWSアカウントへのSSO アクセスを提供したい。要件は①既存ADのユーザー・グループをそのまま利用、②セッション継続時間を最大1時間

Question

ある企業はオンプレミスのActive Directoryを認証基盤として保有し、複数のAWSアカウントへのSSO アクセスを提供したい。要件は①既存ADのユーザー・グループをそのまま利用、②セッション継続時間を最大1時間に制限、③MFAを集中管理で強制、④権限の付与・取り消しを単一画面で一元管理の4点である。最も適切な構成はどれか。

Accepted Answer

正解: IAM Identity Center に AD Connector を使って既存オンプレミスADと接続し、Permission Set のセッション時間を1時間に設定、IAM Identity Center の MFA ポリシーを有効化してアカウントアサインメントで権限を一元管理する。IAM Identity Center と AD Connector の組み合わせにより、オンプレミスADのユーザー・グループをそのまま利用しながら、Permission Set のセッション時間制限・MFA 集中強制・アカウントアサインメントによる権限一元管理という全要件を単一サービスで実現できる。

Answer

IAM Identity Center に AWS Managed Microsoft AD をディレクトリとして設定し、オンプレミスADとの双方向トラストを構成した上で、Permission Set のセッション時間を1時間に設定しMFAをアプリケーション側で実装する — AWS Managed Microsoft AD はAWS上に独立したディレクトリを作成するサービスであり、既存ADをそのまま利用する要件に合わず、MFAもアプリ側制御では集中管理にならない。

Answer

各AWSアカウントに SAML ID プロバイダーを作成して ADFS と連携し、IAMロールの MaxSessionDuration を3600秒に設定してMFAをADFS認証ポリシーで強制し、SCP で横断的なアクセス管理を補完する — 各アカウントへの個別 SAML IdP 設定では権限管理が分散し、SCP はアクセス許可の付与ではなく制限のみを担うため権限の一元管理を補完できない。

Answer

各AWSアカウントに SAML ID プロバイダーを作成して ADFS と連携し、AssumeRoleWithSAML の DurationSeconds を3600秒に指定、IAM 条件キー saml:sub でユーザーを識別してアカウントごとに権限を制御する — 各アカウントへの個別 SAML IdP 設定では管理が分散し、saml:sub による識別はユーザー特定はできても集中 MFA 強制や権限一元管理の手段を提供しない。

解説