翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

カスタマーマネージドアプリケーションの AWS アカウントアクセスを有効にする

IAM Identity Center でカスタマーマネージドアプリケーションの AWS アカウントアクセスを有効にするには、信頼できるトークン発行者を設定します。信頼できるトークン発行者は、認証されたユーザーに代わって署名付きトークンを発行する OAuth 2.0 認可サーバーです。IAM Identity Center は、これらのトークンを認証情報と交換して、アプリケーションがそれらのユーザーに割り当てられた AWS アカウントとロールにプログラムでアクセスできるようにします。信頼できるトークン発行者は、 AWS マネージドアプリケーションへのアクセスにも使用できます。詳細については、「信頼できるトークン発行者によるアプリケーションの使用」を参照してください。

仕組み

管理者がカスタマーマネージドアプリケーションのsso:account:accessスコープを有効にすると、次のワークフローが発生します。

アプリケーションの設定時に更新トークン許可を有効にした場合、 はアクセストークンとともに更新トークンCreateTokenWithIAMも返します。アプリケーションはこの更新トークンを使用して、JWT ベアラートークンの完全な交換を繰り返すことなく、新しいアクセストークンを取得できます。アクセストークンを更新するには、 refresh_token 許可タイプCreateTokenWithIAMで を呼び出します。

前提条件

カスタマーマネージドアプリケーションのアカウントアクセスを有効にする前に、以下が必要です。

アカウントアクセスを有効にする

アカウントアクセスを有効にすると、アプリケーションは Identity Portal API オペレーションをプログラムで呼び出してアカウントとロールを一覧表示し、認証されたユーザーがアクセスを許可されているロールの一時的な AWS 認証情報を取得できます。

プログラム的なアクセス

PutApplicationAccessScope API を使用して、カスタマーマネージドアプリケーションのsso:account:accessスコープをプログラムで有効にできます。組織の管理アカウントまたは委任管理者アカウントから API を呼び出す必要があります。

AWS CLI

aws sso-admin put-application-access-scope \
  --application-arn arn:aws:sso::123456789012:application/ssoins-1234567890abcdef/apl-1234567890abcdef \
  --scope "sso:account:access"

API リクエスト:

{
  "ApplicationArn": "arn:aws:sso::123456789012:application/ssoins-1234567890abcdef/apl-1234567890abcdef",
  "Scope": "sso:account:access"
}

アカウントアクセスを無効にするには、同じアプリケーション ARN とスコープ値で DeleteApplicationAccessScope API を使用します。

詳細については、IAM Identity Center API リファレンスの「PutApplicationAccessScope」とDeleteApplicationAccessScope」を参照してください。

セキュリティのベストプラクティス

関連情報