アクセス許可セットの作成、管理と削除

組織インスタンス

アクセス許可セットを使用するには、IAM アイデンティティセンターの組織インスタンスを使用する必要があります。詳細については、「IAM アイデンティティセンターの組織インスタンスとアカウントインスタンス」を参照してください。

あらかじめ定義されたアクセス許可セットから始める

定義済みの権限 を使用する定義済みのアクセス権限セットでは、使用可能なポリシーのリストから 1 つの AWS マネージドポリシーを選択します。各ポリシーは、AWS サービスやリソースへの特定のアクセスレベル、または一般的な職務に必要な権限を付与します。これらのポリシーそれぞれの詳細については、「AWS職務機能の管理ポリシー」を参照してください。使用状況データを収集したら、アクセス許可セットをより制限の厳しいものに調整できます。

管理セッションの期間を妥当な作業期間に制限する

ユーザーが AWS アカウント にフェデレーションし、AWS マネジメントコンソール または AWS コマンドラインインターフェイス (AWSCLI) を使用する場合、IAM アイデンティティセンターはアクセス許可セットのセッション期間設定を使用してセッション期間を制御します。ユーザーセッションがセッション時間に達すると、コンソールからサインアウトされ、再度サインインするよう求められます。セキュリティのベストプラクティスとして、ロールを実行するために必要な長さを超えるセッション期間を設定しないことをお勧めします。デフォルトでは、[セッション期間] は 1 時間です。最大値は 12 時間まで指定できます。詳細については、「AWS アカウントのセッション期間を設定する」を参照してください。

ワークフォースユーザーポータルのセッション期間を制限する

ワークフォースユーザーはポータルセッションを使用してロールを選択し、アプリケーションにアクセスします。デフォルトでは、Workforce ユーザーが AWS アクセスポータルにサインインしてから再認証が必要になるまでの時間を決定する「最大セッション期間」の値は 8 時間です。最大値は 90 日まで指定できます。詳細については、「IAM アイデンティティセンターでセッション期間を設定する」を参照してください。

最小特権アクセス許可を与えるロールを使用する

作成してユーザーに割り当てた各アクセス許可セットは、AWS アクセスポータルで使用可能なロールとして表示されます。そのユーザーとしてポータルにサインインするときは、アカウント内のタスクの実行に使用できる最も制限の厳しいアクセス権限セットに対応するロールを (AdministratorAccess ではなく) 選択してください。ユーザー招待を送信する前に、アクセス許可セットをテストして必要なアクセス許可が提供されていることを確認してください。