AWS IAM Identity Center 功能

IAM Identity Center 建立在 AWS Identity and Access Management (IAM) 角色和政策的基礎上，可協助您集中管理 AWS 組織中所有 AWS 帳戶的存取。IAM Identity Center 使用許可集，這是一個或多個 IAM 政策的集合。然後，您指派許可集以定義您的使用者/群組的存取權。根據這些指派，該服務會建立一個 IAM Identity Center 控制的 IAM 角色，並將許可集內指定的政策連接至每個指派帳戶中的這些角色。無須個別帳戶的額外組態。 

IAM Identity Center 透過各種合作夥伴整合選項，提供臨時提升的存取權。AWS 已驗證您可以使用 CyberArk 安全雲端存取、Tenable Cloud Security 和 Okta 存取請求來協助處理一系列臨時提升存取權場景，包括需要完全稽核性的敏感操作、具有複雜權利和稽核需求的多重雲端環境，以及使用多個身分來源和應用程式整合的組織。沒有執行敏感操作 (例如在生產環境中變更高價值資源的組態) 所需常設許可的人力團隊使用者可以要求存取權、取得核准，並在指定的時間內執行操作。此外，您的稽核員可以檢視合作夥伴解決方案中的動作和核准記錄。

在 IAM Identity Center 控制台中，使用應用程式指派來提供對許多 SAML 2.0 商業應用程式 (包括 Salesforce、Box 和 Microsoft 365) 的單一登入存取。您可以依照 IAM Identity Center 內的逐步指示，輕鬆地將單一登入存取設定至這些應用程式。這會引導您輸入必要的 URL、憑證及中繼資料。如需與 IAM Identity Center 預先整合的商業應用程式的完整清單，請參閱 IAM Identity Center 雲端應用程式。

受信任的身分傳播建置於 OAuth 2.0 授權框架之上，該框架允許應用程式代表特定使用者存取資料和其他資源，而無需共用該使用者的憑證。IAM Identity Center 的這項功能可簡化使用者的資料存取管理、稽核，並改善了分析使用者跨多個 AWS 分析應用程式的登入體驗。若要開始使用，應用程式的擁有者、身分來源和資料管理員將應用程式連接到服務，並開始根據使用者和群組管理存取權限。然後，資源管理員可以使用來自其身分來源的現有身分和群組成員資格，以設定和管理應用程式內的資料資源存取。稽核和安全團隊可以將資料資源的存取權限追溯到每位使用者。資料分析師可以使用熟悉的單一登入體驗，跨 AWS Analytics 服務 (Amazon Redshift、Amazon Quicksight、Amazon S3、Amazon EMR 和 AWS LakeFormation) 無縫存取指派的資料。進一步了解受信任的身分傳播。 

藉助 IAM Identity Center，您可以根據 IAM Identity Center 身分來源中定義的使用者屬性，輕鬆地為組織內的人力建立和使用精細的許可。IAM Identity Center 可讓您選擇多個屬性 (例如成本中心、職稱或地區設定)，然後使用這些屬性實施基於屬性的存取控制 (ABAC)，以簡化和集中管理存取權限。可以為整個 AWS 組織定義一次許可，然後只需變更身分來源中的屬性即可授予、撤銷或修改 AWS 存取權限。

進一步了解 ABAC »

IAM Identity Center 現在支援從 AWS Organizations 委派管理員帳戶，對您組織中的所有成員帳戶進行集中管理和 API 存取。這意味著您可以在您的組織中，指定一個可用於集中管理所有成員帳戶的帳戶。透過委派管理，您可以減少使用管理帳戶的需要，以遵守推薦的實務。

IAM Identity Center 支援各項安全標準與合規要求，包括支付卡產業 – 資料安全標準 (PCI DSS)、國際標準化組織 (ISO)、系統和組織控制 (SOC) 1、2 和 3、Esquema Nacional de Seguridad (ENS) High、金融市場監管局 (FINMA) 國際鑑證業務標準 (ISAE) 3000 第 2 類報告要求，以及多層雲端安全 (MTCS)。該服務仍是在受保護層級評估的資訊安全註冊評估員計劃 (IRAP)。

IAM Identity Center 可部署為組織執行個體或帳戶執行個體。IAM Identity Center 的組織執行個體已部署在 AWS Organizations 的管理帳戶中。這是對您的員工進行身分驗證和授權的最佳實務和建議方法。它是單一的中央存取控制點，適用於多帳戶生產環境中的 AWS 帳戶和應用程式。IAM Identity Center 的帳戶執行個體是一種企業使用者可執行的有限範圍的部署，以便快速評估受支援的 AWS 應用程式 (例如 Amazon Redshift)，並且使其可供較窄範圍的應用程式使用者集使用。組織執行個體的管理員可控制企業使用者透過服務控制政策 (SCP) 建立帳戶執行個體的能力，這是 AWS Organizations 的一項功能。

您可以使用 IAM Identity Center 應用程式組態精靈，建立單一登入與啟用 SAML 2.0 之應用程式的整合。應用程式指派組態精靈可協助您選取要傳送給啟用單一登入存取之應用程式的資訊，以及設定其格式。例如，您可以針對使用者名稱建立 SAML 屬性，並根據使用者 AD 描述檔中的電子郵件地址指定該屬性的格式。

所有管理和多帳戶存取活動都會記錄在 AWS CloudTrail 中，提供您集中的稽核 IAM Identity Center 活動視野。您可以透過 CloudTrail 檢視例如登入嘗試、應用程式指派以及目錄整合變更等活動。例如，您可以看到使用者在指定時段內存取的應用程式，或是使用者何時將存取權指定給特定應用程式。