¿El uso de IAM Identity Center afecta a mis identidades de IAM o a mi configuración de federación?

Descripción corta

Puedes utilizar IAM Identity Center o IAM para federar a tu personal en cuentas y aplicaciones de AWS.

La federación de IAM te permite activar un IdP de SAML 2.0 u OIDC independiente para cada cuenta de AWS. Puedes usar proveedores de identidad en lugar de usuarios de IAM en tu cuenta de AWS. Para obtener más información, consulta Federación y proveedores de identidades.

IAM Identity Center utiliza roles vinculados a servicios de IAM. Si hay roles vinculados a servicios, no es necesario agregar permisos manualmente. Para obtener más información, consulta Uso de roles vinculados a servicios para IAM Identity Center.

Resolución

IAM Identity Center es independiente de la federación de identidades que configuras con IAM. IAM Identity Center no afecta a las identidades de IAM ni a la configuración de la federación.

IAM Identity Center utiliza el rol vinculado a servicios AWSServiceRoleForSSO para conceder permisos de administración de los recursos de AWS. El rol AWSServiceRoleForSSO creado en las cuentas de AWS solo confía en el servicio IAM Identity Center con una política de confianza de IAM similar a la siguiente:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "sso.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

Los roles de IAM creados por el rol vinculado a servicios AWSServiceRoleForSSO tienen una política de confianza de IAM similar a la siguiente:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Federated": "arn:aws:iam::444455556666:saml-provider/AWSSSO_ec48a2d3f5dc369d_DO_NOT_DELETE"
      },
      "Action": "sts:AssumeRoleWithSAML",
      "Condition": {
        "StringEquals": {
          "SAML:aud": "signin.aws.amazon.com/saml"
        }
      }
    }
  ]
}

Nota: Esta política de IAM solo confía en el proveedor de SAML que IAM Identity Center crea automáticamente.

Con la federación de IAM, debes crear manualmente los roles de IAM en tus cuentas de AWS con una política de confianza similar a la siguiente:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Federated": "arn:aws:iam::444455556666:saml-provider/ExampleIdP"
      },
      "Action": "sts:AssumeRoleWithSAML",
      "Condition": {
        "StringEquals": {
          "saml:edupersonorgdn": "ExampleOrg",
          "saml:aud": "signin.aws.amazon.com/saml"
        }
      }
    }
  ]
}

Nota: Solo las entidades de IAM de tu organización que tengan esta política adjunta pueden acceder a tus cuentas de AWS.

Información relacionada

How to create and manage users within AWS IAM Identity Center (Cómo crear y administrar usuarios con AWS IAM Identity Center)

¿Cómo puedo asignar el acceso de usuario a las aplicaciones en la nube en IAM Identity Center?

¿Cómo uso los conjuntos de permisos de IAM Identity Center?

Identity federation in AWS (Federación de identidades en AWS)