c1.6 ID を一元化し、アクセスをフェデレーションする
長期の IAM ユーザーやアクセスキーではなく、一元管理された一時的なアクセスを人々に付与します。ID プロバイダーを AWS IAM Identity Center に接続し、アクセスの付与と取り消しを 1 か所から行います。
実装ガイダンス
IAM ユーザーではなく中央の ID ソースを使う
長期の IAM ユーザーとそのアクセスキーは、漏洩し、共有され、忘れられる耐久性のあるシークレットです。代わりに AWS IAM Identity Center でアクセスをフェデレーションし、人やアプリケーションに一時的な認証情報を仲介します。既存の ID プロバイダー(Microsoft Entra ID、Okta、Ping、OneLogin、Google Workspace、AWS Directory Service)を ID ソースとして接続します。
まだ始めたばかりでディレクトリがない場合は、IAM Identity Center の組み込み ID ストアを使います。初日から一時的な認証情報と一元管理が得られます。
要点はデプロビジョニング
セキュリティ上の価値は入退社のライフサイクルにあります。ID ソースを人事プロセス(直接、または ID 管理/SCIM システム経由)と統合し、誰かが退職したら AWS アクセスが一度にすべての場所で削除されるようにします。長期のアクセスキーにはこの性質がなく、誰かが削除するまで有効なままです。
置き換えるべき長期キーを見つける
アカウントの認証情報レポートを生成し、まだ有効なアクセスキーを持つ IAM ユーザーを一覧表示します。これらがフェデレーションによる一時的アクセスへ移行すべき候補です:
aws iam generate-credential-report
aws iam get-credential-report \
--query 'Content' --output text | base64 -d \
| awk -F, 'NR==1 || $9=="true" || $14=="true"'全体像
How to validate
- 従業員をどこで認証していますか。それは IAM Identity Center に接続されていますか?
- 人間のアクセス用に IAM ユーザーがまだ作成されていますか。アクセスキーはどのくらいの頻度でローテーションしていますか?
- 誰かが退職したとき、アクセスは自動的に削除されますか。人事イベントから実際の取り消しまでどのくらいかかりますか?
Threats addressed
- ATT&CK Credential Access 退職者(またはアクセスキーなどの耐久性のある認証情報を持つ人)は退職後もアクセスを保持し得ます。中央ディレクトリとフェデレーションがあれば、ID を取り消すと AWS アクセスは直ちに削除されます。
AWS サービス
AWS IAM Identity Center 
AWS IAM 
AWS Directory Service 料金
追加料金なし
AWS IAM Identity Center は追加料金なしで提供されます。