AWS IAM Identity Center (Identity Store)

AWS IAM Identity Center (Identity Store) について

このソースは、IAM Identity Center の背後にあるディレクトリレイヤーである identitystore: API を通じて、ユーザー、グループ、メンバーシップを読み取ります。許可セット、アカウントの割り当て、SSO アプリケーションは sso: に属し、IAM Identity Center (SSO) で扱われます。Identity Center が有効になっている組織の管理アカウントまたは委任管理者アカウントでロールを作成してください。 AWS は Identity Store 専用の最小限のマネージドポリシーを提供していません。以下のインライン JSON を使用してください。

仕組み

Iru は独自の AWS アカウントで稼働しています。Identity Store のユーザー、グループ、メンバーシップを読み取るには、信頼ポリシー（sts:AssumeRole + ウィザードの External ID）と読み取り専用の identitystore: 権限を持つ IAM ロールを作成します。AWS は Identity Store 専用の最小限のマネージドポリシーを公開していないため、AWS タブのインライン JSON が Iru の呼び出す内容に対応しています。そのロールの ARN を Iru に貼り付けます。

項目	値
カテゴリ	セキュリティ
認証	クロスアカウント IAM ロール

前提条件

IAM Identity Center が有効になっていること。ロールは管理アカウントまたは委任管理者アカウントに作成します。
Iru の接続後、d-xxxxxxxxxx 形式の Identity Store ID をコンソールの設定で確認できます。

Identity Store を Iru に接続する

Iru Compliance
AWS

まずここから始めます。ソースウィザードを開き、信頼ポリシーをコピーします（外部 ID も控えておきます）。AWS でロールを作成する準備ができたら、AWS タブに切り替えて AWS で IAM ロールを作成するの手順に従います。Role ARN を取得したら、Iru Compliance タブに戻り、以下の Iru でロール ARN を送信するを完了します。

Iru から信頼ポリシーを取得する

ソースを開く

Iru Compliance の左側のナビゲーションバーで コンプライアンス を展開し、ソース を選択します。

左側のナビゲーション: Compliance を展開し、Sources を選択した状態

AWS IAM Identity Center (Identity Store) をオンにする

AWS IAM Identity Center (Identity Store) を探します（カテゴリ または 名前または説明で検索 を使用します）。そのカードのトグルをオンにします。Iru が外部サービスへのアクセスをリクエストしています ウィザードのタブは開いたままにしておきます。

信頼ポリシーの JSON をコピーする

ウィザードには、IAM ロールで使用する必要がある信頼ポリシーの JSON（Principal と sts:ExternalId）が表示されます。以下は構造の例です。アカウント、プリンシパル ARN、外部 ID が正確に一致するように、ウィザードに表示される最新の JSON をコピーしてください。

copy=false

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::753695775620:role/IruConnect"
      },
      "Condition": {
        "StringEquals": {
          "sts:ExternalId": "YOUR_EXTERNAL_ID"
        }
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

AWS に切り替えてロールを作成する

参照用に Iru ウィザードのタブを開いたまま、AWS タブに切り替えて AWS で IAM ロールを作成するの手順に従います。

Iru でロール ARN を送信する

新しいロールの Role ARN を取得するため、先に AWS タブ（AWS で IAM ロールを作成するまで）を完了してください。

IAM Role ARN を貼り付ける

Iru ウィザードのタブに戻ります。コネクタで求められる場所に Role ARN を貼り付けます。

接続を完了する

Submit Role を選択します。接続に成功すると、ウィザードに 接続が構成されました と表示されます。

ソースが有効であることを確認する

Iru が外部サービスへのアクセスをリクエストしています のブラウザタブを閉じてから コンプライアンス → ソース に戻り、Identity Store カードが有効になっていることを確認します。

このロールを作成する前に、Iru Compliance タブの Iru から信頼ポリシーを取得するを完了してください。Trusted entity を設定する際は、最新のウィザードに表示される外部 ID と信頼ポリシーを使用します。

AWS で IAM ロールを作成する

ロール作成ワークフローを開始する

管理アカウントまたは委任管理者アカウントで、IAM → Roles → Create role を開きます。

信頼されたエンティティを設定する

AWS account → Another AWS account を選択します。753695775620（または Iru に表示される ID）を入力します。Require external ID を有効にし、Iru からコピーした外部 ID を貼り付けます。

範囲の広いマネージドポリシーをスキップする

チームで標準化されていない限り、AWSSSOReadOnly をアタッチせずに先に進みます。Identity Store の読み取りはより範囲が限定されています。

Identity Store のインラインポリシーを追加する

次の JSON でインラインポリシーを作成します。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "identitystore:Describe*",
        "identitystore:Get*",
        "identitystore:List*"
      ],
      "Resource": "*"
    }
  ]
}

ロールに名前を付けて ARN をコピーする

ロールに名前を付けて作成し、Role ARN をコピーします。Iru Compliance タブに戻り、Iru でロール ARN を送信するを完了します。

Iru Compliance タブに進み、Role ARN を貼り付けてウィザードを完了します（Iru でロール ARN を送信する）。

トラブルシューティング

ソースをオンにしても何も開かない

Iru サイトのポップアップブロッカーの設定を確認してから、もう一度お試しください。

ディレクトリが空になる

アカウントが間違っています。Identity Center が稼働している管理アカウントまたは委任管理者アカウントを使用してください。

アクションで AccessDenied が発生する

sso: ではなく identitystore: を使用してください。

AssumeRole が拒否される

外部 ID が一致していません。

考慮事項

Identity Center のホームリージョンは組織ごとに…

Identity Center のホームリージョンは組織ごとに固定されています。エビデンスはそのデプロイモデルを反映します。

AWS IAM Identity Center (SSO)

Compliance で関連するソースを接続・管理します。

Sources の管理

すべての Compliance ソースを参照・管理します。

Compliance の利用を開始する

フレームワーク、アクション、アーティファクト。

はじめに

アクション

フレームワーク

アーティファクト

ソース

ポリシー

トラストセンター

ワークフロー

AWS IAM Identity Center (Identity Store)