Fonctionnalités d’AWS IAM Identity Center

IAM Identity Center repose sur les rôles et les politiques d'AWS Identity and Access Management (IAM) pour gérer les accès de manière centralisée pour tous les comptes AWS de votre organisation AWS. IAM Identity Center utilise des ensembles d'autorisation, à savoir des collections d'une ou plusieurs politiques IAM. Vous attribuez ensuite un ou plusieurs ensembles d'autorisations pour définir l'accès de vos utilisateurs/groupes. Le service crée un rôle IAM contrôlé par IAM Identity Center en fonction des ces attributions, et attache les politiques spécifiées dans l'ensemble d'autorisations à ces rôles dans chaque compte assigné. Aucune autre configuration n'est requise au niveau des comptes individuels.  

IAM Identity Center offre un accès de niveau élevé temporaire par l'intermédiaire d'une gamme d'options d'intégration destinées aux partenaires. AWS a confirmé l'utilisation de CyberArk Secure Cloud Access, Tenable Cloud Security et Okta Access Requests pour vous aider à répondre à divers scénarios d'accès de niveau élevé temporaire, notamment les opérations sensibles nécessitant une auditabilité complète, les environnements multicloud avec des droits et des besoins d'audit complexes, et les organisations utilisant de multiples sources d'identité et intégrations d'applications. Les utilisateurs employés qui ne disposent pas d'autorisations permanentes pour effectuer des opérations sensibles, telles que la modification de la configuration d'une ressource de grande valeur dans un environnement de production, peuvent demander un accès, recevoir une approbation et effectuer l'opération pendant une période spécifiée. De plus, vos auditeurs peuvent consulter un journal des actions et des approbations dans la solution partenaire.

Dans la console IAM Identity Center, utilisez les affectations d'applications pour fournir un accès par authentification unique à de nombreuses applications métier SAML 2.0, notamment Salesforce, Box et Microsoft 365. Vous pouvez facilement configurer l'accès par authentification unique à ces applications en suivant les instructions étape par étape dans IAM Identity Center. Il vous aide à entrer les URL, les certificats et les métadonnées requis. Pour obtenir la liste complète des applications métier pré-intégrées à IAM Identity Center, voir Applications cloud IAM Identity Center.

La propagation fiable des identités repose sur le cadre d'autorisation OAuth 2.0, qui permet aux applications d'accéder aux données et à d'autres ressources pour le compte d'un utilisateur spécifique, sans communiquer ses informations d'identification. Cette fonctionnalité d'IAM Identity Center simplifie la gestion de l'accès aux données pour les utilisateurs, les audits et améliore l'expérience de connexion des utilisateurs d'analyses sur plusieurs applications d'analyse AWS. Pour commencer, le propriétaire de l'application, la source d'identité et l'administrateur des données connectent l'application au service et commencent à gérer les accès en fonction des utilisateurs et des groupes. Les administrateurs de ressources peuvent ensuite configurer et gérer l'accès aux ressources de données au sein des applications en utilisant les identités existantes et les appartenances à des groupes à partir de leur source d'identité. Les équipes d'audit et de sécurité peuvent retracer l'accès aux ressources de données et remonter jusqu'à chaque utilisateur. Les analystes de données peuvent accéder facilement aux données qui leur sont attribuées via les services d’analytique AWS (Amazon Redshift, Amazon Quicksight, Amazon S3, Amazon EMR et AWS LakeFormation) à l’aide d’une expérience d’authentification unique et simple. En savoir plus sur la propagation d'identité approuvée. 

IAM Identity Center facilite la création et l'utilisation d'autorisations précises pour votre personnel, en fonction des attributs utilisateur définis dans votre magasin d'identité IAM Identity Center. IAM Identity Center vous permet de sélectionner plusieurs attributs, tels que le centre de coût, le titre ou le lieu, puis de les utiliser pour le contrôle d'accès en fonction d'attributs (ABAC), afin de simplifier et de centraliser l'administration des accès. Vous pouvez définir les autorisations une fois pour toute votre organisation AWS, puis accorder, révoquer ou modifier l'accès AWS en changeant simplement les attributs dans la source d'identité.

En savoir plus sur ABAC »

IAM Identity Center prend en charge l'administration centralisée et l'accès aux API à partir d'un compte d'administrateur délégué AWS Organizations pour tous les comptes membres de votre organisation. Ainsi, vous pouvez désigner un compte de votre organisation qui peut être utilisé pour administrer de façon centralisée tous les comptes membres. Grâce à l'administration déléguée, vous pouvez suivre les pratiques recommandées en réduisant le recours à votre compte de gestion.

IAM Identity Center prend en charge les normes de sécurité et les exigences de conformité, notamment Payment Card Industry - Data Security Standard (PCI DSS), International Organization for Standardization (ISO), System and Organization Controls (SOC) 1, 2 et 3, Esquema Nacional de Seguridad (ENS) High, Financial Market Supervisory Authority (FINMA) International Standard on Assurance Engagements (ISAE) 3000 Type 2 Report et Multi-Tier Cloud Security (MTCS). Le service reste évalué par Information Security Registered Assessors Program (IRAP) au niveau PROTÉGÉ.

IAM Identity Center peut être déployé en tant qu'instance d'organisation ou en tant qu'instance de compte. Une instance d’organisation d’IAM Identity Center est déployée dans le compte de gestion d’AWS Organizations. Il s’agit de la pratique et de l’approche recommandées pour authentifier et autoriser votre personnel. Il s’agit d’un point de contrôle d’accès unique et central pour les applications et les comptes AWS dans un environnement de production à comptes multiples. Une instance de compte d’IAM Identity Center est un déploiement à portée limitée qui peut être effectué par des utilisateurs liés à des entreprises. Ainsi, ils sont en mesure d’évaluer rapidement une application AWS prise en charge (par exemple Amazon Redshift) et de la mettre à disposition d’un nombre restreint d’utilisateurs de l’application. L’administrateur d’une instance d’organisation peut contrôler la capacité des utilisateurs liés à des entreprises à créer des instances de compte par le biais de politiques de contrôle des services (SCP), une fonctionnalité d’AWS Organizations.

Vous pouvez créer des intégrations d'authentification unique dans des applications compatibles SAML 2.0 à l'aide de l'assistant de configuration des affectations d'applications d'IAM Identity Center. L'assistant de configuration des affectations d'applications vous permet de sélectionner et de formater les informations à envoyer aux applications pour activer l'accès par authentification unique. Par exemple, vous pouvez créer un attribut SAML pour un nom d'utilisateur et préciser le format de l'attribut en fonction de l'adresse e-mail du profil AD d'un utilisateur.

Toutes les activités d'accès administratif et multicompte sont enregistrées dans AWS CloudTrail, afin de vous permettre de contrôler l'activité IAM Identity Center de manière centralisée. Grâce à CloudTrail, vous pouvez visualiser des activités telles que les tentatives de connexion, les affectations d'applications et les changements d'intégration d'annuaire. Par exemple, vous pouvez déterminer les applications auxquelles un utilisateur a accédé sur une période donnée ou à quel moment un utilisateur a reçu un accès à une application spécifique.