View a markdown version of this page

AWS アカウント にユーザーまたはグループアクセスを割り当てる - AWS IAM アイデンティティセンター

AWS アカウント にユーザーまたはグループアクセスを割り当てる

接続先ディレクトリのユーザーとグループにシングルサインオン・アクセスを割り当て、アクセス権限セットによってそれらのユーザーとグループのアクセスレベルを決定するには、以下の手順を実行します。

既存のユーザーやグループ向けのアクセスを確認するには、「権限セットを表示および変更する」を参照してください。

注記

アクセス権限の管理をシンプルにするために、個々のユーザーではなくグループに直接アクセスを割り当てることをお勧めします。グループを使用すると、個々のユーザーにこれらのアクセス権限を適用するのではなく、ユーザーグループに対してアクセス権限を付与または拒否できます。ユーザーが別の組織に異動した場合、そのユーザーを別のグループに移動するだけで、新しい組織に必要なアクセス権限がそのユーザーに自動的に付与されます。

AWS アカウント にユーザーまたはグループアクセスを割り当てるには

  1. IAM Identity Center コンソール を開きます。

    注記

    次のステップに進む前に、IAM Identity Center コンソールで、AWS Managed Microsoft AD ディレクトリが存在するリージョンを使用していることを確認してください。

  2. ナビゲーションペインの [マルチアカウント権限] で、AWS アカウント を選択します。

  3. AWS アカウント ページには、組織のツリービューリストが表示されます。アクセスを割り当てる AWS アカウント の横にあるチェックボックスをオンにします。IAM アイデンティティセンターの管理アクセスを設定する場合は、管理アカウントの横にあるチェックボックスをオンにします。

    注記

    ユーザーとグループにシングルサインオン・アクセスを割り当てる場合、1 つの権限セットにつき一度に 10 AWS アカウントまで選択できます。同じユーザーおよびグループのグループに 10 個以上の AWS アカウント を割り当てるには、他のアカウントの必要に応じてこの手順を繰り返します。プロンプトが表示されたら、同じユーザー、グループ、権限セットを選択します。

  4. [ユーザーまたはグループの割り当て] を選択します。

  5. ステップ 1: ユーザーとグループの選択では、[ユーザーとグループを「AWS-account-name」に割り当てる] ページで、次の操作を行います。

    1. [ユーザー] タブで、シングルサインオン・アクセスを許可するユーザーを 1 人以上選択します。

      結果をフィルタリングするには、検索ボックスに目的のユーザーの名前を入力します。

    2. [グループ] タブで、シングルサインオン・アクセスを許可するグループを 1 つ以上選択します。

      結果をフィルターする場合は、検索ボックスに目的のグループの名前を入力します。

    3. 選択したユーザーとグループを表示するには、[選択したユーザーとグループ] の横にある横向きの三角形を選択します。

    4. 正しいユーザーとグループが選択されたことを確認したら、[次へ] を選択します。

  6. ステップ 2: アクセス許可セットの選択 では、[アクセス許可セットを「AWS-account-name」に割り当てる] ページで、次の操作を行います。

    1. 1 つまたは複数の権限セットを選択します。必要に応じて、新しい権限セットを作成して選択できます。

      • 1 つ以上の既存の権限セットを選択するには、[権限セット] で、前のステップで選択したユーザーとグループに適用する権限セットを選択します。

      • 1 つ以上の新しい権限セットを作成するには、[権限セットの作成] を選択し、アクセス権限セットを作成します。 の手順に従います。適用する権限セットを作成したら、IAM Identity Center コンソールで「AWS アカウント」に戻り、[ステップ 2: 権限セットを選択する] が表示されるまで指示に従います。このステップに到達したら、作成した新しい権限セットを選択し、この手順の次のステップに進みます。

    2. 正しい権限セットが選択されていることを確認したら、[次へ] を選択します。

  7. ステップ 3: 確認と送信では、[「AWS-account-name」への割り当てを確認と送信] ページで、次の操作を行います。

    1. 選択したユーザ、グループ、権限セットを確認します。

    2. 正しいユーザ、グループ、権限セットが選択されていることを確認したら、[提出] を選択します。

    考慮事項

    • ユーザーとグループへの割り当てプロセスが完了するまでに数分かかることがあります。プロセスが正常に完了するまで、このページを開いたままにしておきます。

    • 注記

      ユーザーやグループに AWS Organizations 管理アカウントでの操作権限を付与する必要があるかもしれません。高い特権を持つアカウントであるため、追加のセキュリティ制限により、この設定を行う前に、IAMFullAccess ポリシーまたは同等の権限を持つことが必要です。これらの追加のセキュリティ制限は、AWS 組織のどのメンバーアカウントにも必要ありません。

  8. 以下のいずれかに当てはまる場合は、ユーザーに MFA を求める の手順に従って IAM Identity Center の MFA を有効にしてください。

    • ID ソースとしてデフォルトの Identity Center ディレクトリを使用しています。

    • AWS Managed Microsoft AD ディレクトリまたは Active Directory の自己管理ディレクトリを ID ソースとして使用しており、AWS Directory Service で RADIUS MFA を使用していません。

    注記

    外部 ID プロバイダーを使用している場合は、IAM アイデンティティセンターではなく外部 IdP が MFA 設定を管理することに注意してください。IAM Identity Center の MFA は、外部 IIdPs による使用はサポートされていません。

管理ユーザーのアカウントへのアクセス権をセットアップすると、対応する IAM ロールが IAM Identity Center により作成されます。このロールは IAM アイデンティティセンターによって制御され、関連する AWS アカウントで作成され、アクセス権限セットで指定されたポリシーがロールにアタッチされます。

または、AWS CloudFormation を使用してアクセス権限セットを作成して割り当て、それらのアクセス権限セットにユーザを割り当てることもできます。ユーザーは、AWS アクセスポータルにサインイン するか、AWS Command Line Interface (AWS CLI) コマンドを使用できます。

注記

このトピックでは、アクセス許可セットを使用したアクセスの割り当てについて説明します。完全な IAM ロール機能セットを使用して既存の IAM ロールを IAM Identity Center のユーザーやグループに割り当てるには、「IAM ユーザーガイド」の「アカウントアクセスマネージャー」を参照してください。