Quản lý truy cập tập trung cho nhân sự bằng IAM Identity Center
Nhân viên đã có danh tính trong identity provider (IdP) của công ty; thay vì tạo thêm thông tin đăng nhập AWS riêng cho từng người, federation cho phép họ đăng nhập AWS bằng chính danh tính đó.
MFTECH có 6 account trong Organizations và quản lý nhân sự trong Active Directory on-premises; một công ty con dùng Microsoft Entra ID. Nhân viên cần vào đúng account theo vai trò công việc, bằng chính danh tính công ty. AWS khuyến nghị người dùng là con người truy cập AWS qua federation với một identity provider và dùng credentials tạm thời; để quản lý tập trung nhiều account, AWS khuyến nghị IAM Identity Center.
Identity Center có đúng một identity source cho mỗi organization: Identity Center directory, Active Directory (qua AD Connector hoặc AWS Managed Microsoft AD), hoặc IdP bên ngoài qua SAML 2.0. Quyền được định nghĩa bằng permission set (tập hợp IAM policy) và gán cho user hoặc group trên từng account. Chọn tình huống và so sánh các phương án.
Nhấn Chạy mô phỏng để quan sát từng bước xử lý. Thay đổi lựa chọn và chạy lại để so sánh kết quả.
Directory dùng cho Identity Center phải nằm trong management account của Organizations (hoặc delegated admin account của Identity Center). Với AWS Managed Microsoft AD, Identity Center phải được bật ở cùng Region với directory.
- Nhiều account, danh tính đã có sẵn: IAM Identity Center, gán permission set cho group.
- AD on-premises một domain: AD Connector; nhiều domain hoặc forest: AWS Managed Microsoft AD với two-way trust.
- IdP bên ngoài (Okta, Entra ID): SAML 2.0 để xác thực, SCIM để provision user và group.
- IAM SAML identity provider phải nằm cùng account với role, nên phải cấu hình lại ở từng account.
Centralized workforce access with IAM Identity Center
Employees already have identities in the company’s identity provider (IdP); instead of creating separate AWS sign-in credentials for each person, federation lets them sign in to AWS with those same identities.
MFTECH has 6 accounts in Organizations and manages its staff in on-premises Active Directory; a subsidiary uses Microsoft Entra ID. Staff need access to the right accounts for their job, with their own corporate identity. AWS recommends that human users access AWS through federation with an identity provider and use temporary credentials; for centralized access management across many accounts, AWS recommends IAM Identity Center.
Identity Center has exactly one identity source per organization: the Identity Center directory, Active Directory (through AD Connector or AWS Managed Microsoft AD), or an external IdP through SAML 2.0. Permissions are defined as permission sets (collections of IAM policies) and assigned to users or groups for each account. Choose a scenario and compare the options.
Nhấn Chạy mô phỏng để quan sát từng bước xử lý. Thay đổi lựa chọn và chạy lại để so sánh kết quả.
The directory used by Identity Center must be in the Organizations management account (or the Identity Center delegated administrator account). With AWS Managed Microsoft AD, Identity Center must be enabled in the same Region as the directory.
- Many accounts, existing identities: IAM Identity Center, with permission sets assigned to groups.
- On-premises AD with one domain: AD Connector; several domains or forests: AWS Managed Microsoft AD with a two-way trust.
- External IdP (Okta, Entra ID): SAML 2.0 for authentication, SCIM to provision users and groups.
- An IAM SAML identity provider must be in the same account as the role, so it must be configured again in every account.