AWS 基礎 04–05

AWSアカウントと権限を混同しない

アカウントは人ではなくワークスペースです。人・環境・権限を分離すると、複数環境へのアクセスを安全に読み解けます。

TL;DR

  1. アカウント = ワークスペース
  2. 人はIdentity CenterでSSOする
  3. Switch Roleは跨アカウント委任

01アカウントは環境の箱

人を増やすのではなく、リソースの居場所を分ける。

management、stg、prdに分かれたOrganizations構造
stgとprdは別のAWSワークスペースとして管理する。

教材では AWSアカウント = ワークスペース と整理する。ルートユーザー、Identity Centerユーザー、IAMユーザーは、そのワークスペースに入る人または認証主体である。

概念意味
AWSアカウントリソースを置くワークスペース
Organizations複数のアカウントを束ねる仕組み
OUアカウントを整理する論理グループ

02日常の入口はIdentity Center

ユーザー、MFA、許可セットを組み合わせてSSOする。

Identity Centerから複数アカウントへSSOする流れ
同じユーザーが、割り当てられた許可セットで必要なアカウントへ入る。
通常操作: root userのID・パスワードではなく、Identity Centerのアクセスポータルからログインする。
要素責務
Identity Centerユーザー人を表す
MFA本人確認を強くする
許可セットアカウント内での権限を決める

03SSOとSwitch Roleは別の道

同じ「ログイン」に見えても、使う場面が異なる。

Identity CenterのSSOとIAM Switch Roleの違い
SSOは組織内の日常アクセス、Switch Roleは許可された跨アカウント委任。
仕組み主な用途起点
Identity Center SSO自分の複数環境へ日常的に入るAccess Portal
Switch Role外部・別アカウントから指定ロールを引き受ける既存AWS認証情報

AWS CLIセットアップはTerraform用途の認証を整える補足章。コンソールSSOの設計とは役割を分けて理解する。

結論

  1. アカウントは人でなく環境用のワークスペース。
  2. Identity Center + MFA + 許可セットが日常の入口。
  3. Switch Roleは跨アカウント委任として使い分ける。