ID 管理

このセクションでは、企業ディレクトリ内の従業員ユーザーが AWS アカウントへのフェデレーションを通じて SageMaker AI Studio にアクセスする方法について説明します。まず、ユーザー、グループ、ロールのマッピング方法とユーザーフェデレーションの仕組みについて簡単に説明します。

ユーザー、グループ、ロール

AWS では、ユーザー、グループ、ロールを使用してリソースのアクセス許可を管理します。お客様は、ユーザーとグループを管理するために、IAM を使用するか、Active Directory (AD) などの企業ディレクトリを使用できます。企業ディレクトリは、Okta などの外部 IdP を介して有効にすることで、クラウドやオンプレミスで実行しているさまざまなアプリケーションに対してユーザーを認証できます。

「AWS セキュリティの柱」の「ID 管理」セクションで説明しているように、一元的な IdP でユーザー ID を管理するのがベストプラクティスです。これにより、バックエンドの人事プロセスとの統合や、従業員ユーザーへのアクセス管理が容易になります。

Okta などの IdP を使用すると、エンドユーザーは 1 つ以上の AWS アカウントに対して認証し、Security Assertion Markup Language (SAML) による SSO を使用して特定のロールにアクセスできます。IdP 管理者は、AWS アカウントから IdP にロールをダウンロードしてユーザーに割り当てることができます。エンドユーザーが AWS にログインすると、1 つ以上の AWS アカウントでエンドユーザーに割り当てられている AWS ロールのリストが AWS 画面に表示されます。エンドユーザーは、ログイン時に引き受けるロールを選択できます。このロールは、認証されたセッション中におけるアクセス許可を定義します。

アクセスを許可する特定のアカウントとロールの組み合わせごとに、グループが IdP に存在する必要があります。これは、AWS ロール別のグループと考えることができます。ロール別のグループのメンバーであるユーザーには、1 つの特定の AWS アカウントで 1 つの特定のロールにアクセスするための 1 つの権限が付与されます。ただし、この 1 つの権限を付与するプロセスは、各ユーザーを特定の AWS ロールグループに割り当ててユーザーアクセスを管理するようにスケールすることはできません。管理を簡略化するには、さまざまな AWS 権限のセットを必要とする組織内のすべてのユーザーセットごとに、複数のグループを個別に作成することをお勧めします。

一元的な IdP 設定の例として、AD を設定している企業を考えてみます。この設定では、ユーザーとグループを IdP ディレクトリに同期します。AWS では、これらの AD グループは IAM ロールにマップされます。ワークフローの主なステップは、以下のとおりです。

SAML アカウントフェデレーションの詳細な設定手順については、Okta の「AWS アカウントフェデレーション用に SAML 2.0 を設定する方法」を参照してください。

ユーザーフェデレーション

SageMaker AI Studio の認証は IAM または IAM IdC のいずれかを使用して行うことができます。ユーザーを IAM を介して管理する場合は、IAM モードを選択できます。企業が外部 IdP を使用する場合は、IAM または IAM IdC を介してフェデレーションできます。認証モードは、既存の SageMaker AI Studio ドメインでは更新できないため、本番環境の SageMaker AI Studio ドメインを作成する前に認証モードを決める必要があります。

SageMaker AI Studio を IAM モードで設定した場合、SageMaker AI Studio ユーザーは署名付き URL を介してアプリケーションにアクセスします。この URL にブラウザからアクセスすると、ユーザーは SageMaker AI Studio アプリに自動的にサインインされます。

IAM ユーザー

IAM ユーザーの場合、管理者はユーザーごとに SageMaker AI Studio ユーザープロファイルを作成して IAM ロールに関連付けます。このロールは、ユーザーが Studio 内から実行する必要があるアクションを許可します。AWS ユーザーが各自の SageMaker AI Studio ユーザープロファイルのみにアクセスできるように制限する場合、管理者は SageMaker AI Studio ユーザープロファイルにタグを付け、そのタグ値が AWS ユーザー名と一致したときにのみアクセスを許可する IAM ポリシーをユーザーにアタッチする必要があります。ポリシーステートメントは次のようになります。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AmazonSageMakerPresignedUrlPolicy",
            "Effect": "Allow",
            "Action": [
                "sagemaker:CreatePresignedDomainUrl"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "sagemaker:ResourceTag/studiouserid": "${aws:username}" 
                }
            }
        }
    ]
}

AWS IAM またはアカウントフェデレーション

AWS アカウント フェデレーション方式により、お客様は Okta などの SAML IdP から SageMaker AI コンソールにフェデレーションできます。ユーザーが各自のユーザープロファイルのみにアクセスできるように制限する場合、管理者は SageMaker AI Studio ユーザープロファイルにタグを付け、IdP に PrincipalTags を追加して一時的なタグとして設定します。次の図は、フェデレーションユーザー (データサイエンティストの Alice) が自分の SageMaker AI Studio ユーザープロファイルへのアクセスを、どのように承認されるかを示しています。

ユーザーオンボーディングの一環として SageMaker AI の実行ロールおよびポリシーの作成を自動化する場合、これを実現する方法の 1 つは次のとおりです。

SageMaker AI-Account1-Group メンバーシップイベントをリッスンする自動プロセスを設定し、AWS API を使用して AD グループメンバーシップに基づくロール、ポリシー、タグ、SageMaker AI Studio ユーザープロファイルを作成します。ロールをユーザープロファイルにアタッチします。サンプルポリシーについては、「SageMaker AI Studio ユーザーが他のユーザープロファイルにアクセスできないようにする」を参照してください。

AWS Lambda を使用した SAML 認証

IAM モードでは、SAML アサーションを使用してユーザーを SageMaker AI Studio に対して認証することもできます。このアーキテクチャでは、お客様に既存の IdP があるため、ユーザーが (AWS ID フェデレーションアプリケーションの代わりに)  Studio にアクセスするための SAML アプリケーションを作成できます。お客様の IdP が IAM に追加されます。AWS Lambda 関数は、IAM と STS を使用して SAML アサーションを検証し、API ゲートウェイまたは Lambda 関数を直接呼び出して署名付きドメイン URL を作成するのに役立ちます。

このソリューションの利点は、Lambda 関数で SageMaker AI Studio にアクセスするためのロジックをカスタマイズできることです。以下に例を示します。

要約すると、このソリューションは、認証と認可のためのカスタムロジックを備えた SAML2.0 アプリケーションとして SageMaker AI Studio を公開します。実装の詳細については、付録の「SAML アサーションを使用した SageMaker Studio へのアクセス」セクションを参照してください。

AWS IAM IdC フェデレーション

IdC フェデレーション方式を使用すると、お客様は SAML IdP (Okta など) から SageMaker AI Studio アプリケーションに直接フェデレーションできます。次の図は、フェデレーションユーザーが各自の SageMaker AI Studio インスタンスへのアクセスをどのように承認されるかを示しています。

ドメインの認証に関するガイダンス

ドメインの認証モードを選択する場合の考慮事項は次のとおりです。