IAM Identity Center는 내 IAM ID 또는 페더레이션 구성에 어떤 영향을 미칩니까?

간략한 설명

IAM Identity Center 또는 IAM을 사용하여 인력을 AWS 계정 및 애플리케이션에 페더레이션할 수 있습니다.

IAM 페더레이션을 사용하면 각 AWS 계정에 대해 별도의 SAML 2.0 또는 OIDC IdP를 활성화할 수 있습니다. AWS 계정의 IAM 사용자 대신 ID 공급자를 사용할 수 있습니다. 자세한 내용은 ID 공급자 및 페더레이션을 참조하십시오.

IAM Identity Center는 IAM 서비스 연결 역할을 사용합니다. 서비스 연결 역할을 사용하여 권한을 수동으로 추가할 필요가 없습니다. 자세한 내용은 IAM Identity Center의 서비스 연결 역할 사용을 참조하십시오.

해결 방법

IAM Identity Center는 IAM으로 구성하는 ID 페더레이션과 독립적입니다. IAM Identity Center는 IAM ID나 페더레이션 구성에 영향을 주지 않습니다.

IAM Identity Center는 AWSServiceRoleForSSO 서비스 연결 역할을 사용하여 AWS 리소스를 관리할 수 있는 권한을 부여합니다. AWS가 AWS 계정에 만드는 AWSServiceRoleForSSO 역할은 다음과 유사한 IAM 신뢰 정책을 사용하는 IAM Identity Center 서비스만 신뢰합니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "sso.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

서비스 연결 역할 AWSServiceRoleForSSO가 만드는 IAM 역할에는 다음과 유사한 IAM 신뢰 정책이 있습니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Federated": "arn:aws:iam::444455556666:saml-provider/AWSSSO_ec48a2d3f5dc369d_DO_NOT_DELETE"
      },
      "Action": "sts:AssumeRoleWithSAML",
      "Condition": {
        "StringEquals": {
          "SAML:aud": "signin.aws.amazon.com/saml"
        }
      }
    }
  ]
}

참고: 이 IAM 정책은 IAM Identity Center에서 자동으로 만드는 SAML 공급자만 신뢰합니다.

IAM 페더레이션에서는 다음과 유사한 신뢰 정책을 사용하여 AWS 계정에서 IAM 역할을 수동으로 만들어야 합니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Federated": "arn:aws:iam::444455556666:saml-provider/ExampleIdP"
      },
      "Action": "sts:AssumeRoleWithSAML",
      "Condition": {
        "StringEquals": {
          "saml:edupersonorgdn": "ExampleOrg",
          "saml:aud": "signin.aws.amazon.com/saml"
        }
      }
    }
  ]
}

참고: 이 정책이 연결된 조직의 IAM 엔터티만 AWS 계정에 액세스할 수 있습니다.

관련 정보

AWS IAM Identity Center 내에서 사용자를 만들고 관리하는 방법

IAM Identity Center에서 클라우드 애플리케이션에 사용자 액세스 권한을 할당하려면 어떻게 해야 합니까?

IAM Identity Center 권한 세트를 사용하려면 어떻게 해야 합니까?

AWS의 ID 페더레이션