![[アップデート] AWS IAM Identity Center のマルチリージョンサポートが Identity Center ディレクトリをIDソースとして使用するインスタンスにも対応しました](https://images.ctfassets.net/ct0aopd36mqt/wp-thumbnail-14065d3d54d195fc74d726c1950f7e3a/c847507d538044ec935625e716d204aa/aws-iamidentity-center?w=3840&fm=webp)
[アップデート] AWS IAM Identity Center のマルチリージョンサポートが Identity Center ディレクトリをIDソースとして使用するインスタンスにも対応しました
いわさです。
2026年2月のアップデートで IAM Identity Center にマルチリージョンサポートが追加されました。
これにより、プライマリリージョンで障害が発生しても追加リージョン経由で AWS アカウントへのアクセスを継続できるようになっています。
ただし、当時のマルチリージョンサポートは外部 IdP を使用するインスタンスのみが対象でした。
上記の記事でも触れていますが、アイデンティティソースがデフォルトの Identity Center ディレクトリの場合は「管理」タブにリージョン設定が表示されず、外部 IdP へ変更する必要がありました。
ということで設定してみましょう。
IAM Identity Center 設定画面の「管理」タブから設定が可能なのですが、アイデンティティソースがデフォルトの IAM Identity Center ディレクトリの場合は特に設定項目が見当たらないと思います。
今回のアップデートで、Identity Center ディレクトリを ID ソースとして使用する組織インスタンスでもマルチリージョンサポートが利用可能になりました。
外部 IdP の場合は IdP 側で複数の ACS URL に対応する必要がありましたが、Identity Center ディレクトリの場合はそのような外部サービス側の設定が不要な分、より手軽にマルチリージョンを有効化できます。
今回こちらを確認してみたので紹介します。
実際に確認してみる
公式ドキュメントの前提条件が更新されており、ID ソースの要件について以下のように記載されています。
Identity source - Your IAM Identity Center instance must be connected to an external identity provider (IdP), such as Okta, or use the Identity Center directory as the identity source. Multi-Region support is not available for instances that use Active Directory as the identity source.
以前は外部 IdP のみが対象でしたが、Identity Center ディレクトリも対象に追加されたことが確認できます。
なお、Active Directory を ID ソースとして使用するインスタンスは引き続き非対応とのことです。
また、外部 IdP の場合は IdP 側が複数の ACS URL をサポートしている必要がありましたが、Identity Center ディレクトリの場合はその前提条件が不要みたいです。
公式ドキュメントにも以下のように記載されています。
This prerequisite does not apply when using the Identity Center directory as the identity source.
つまり、Identity Center ディレクトリを使用している場合は IdP 側の互換性を気にすることなくマルチリージョンを有効化できるということですね。
Identity Center ディレクトリでのマルチリージョン有効化
では実際に Identity Center ディレクトリを ID ソースとして使用しているインスタンスでマルチリージョンを有効化してみます。
今回はバージニア北部（us-east-1）をプライマリリージョンとして使用している組織インスタンスに、東京リージョン（ap-northeast-1）を追加してみました。
まず、IAM Identity Center の設定画面の「アイデンティティソース」タブで ID ソースが「Identity Center ディレクトリ」になっていることを確認します。
次に「設定」の「管理」タブを開きます。
「保管中の IAM Identity Center データを暗号化するためのキー」セクションと「IAM Identity Center のリージョン」セクションがあります。
マルチリージョンを有効化するにはカスタマーマネージド KMS キーが必要です。
AWS 所有キーのままだとリージョン追加の操作ができません。
「暗号化を管理」からマルチリージョンのカスタマーマネージド KMS キーを設定しました。
設定後、「IAM Identity Center のリージョン」セクションに「リージョンを追加」ボタンが表示されるようになります。
「リージョンを追加」を押すと、レプリケーション用に利用可能な AWS リージョンの一覧が表示されます。
今回は東京リージョン（ap-northeast-1）を選択しました。
KMS レプリカキーが未作成のリージョンはグレーアウトされて選択できないようになっています。
東京リージョンを選択して「リージョンを追加」を押すと、レプリケーションが開始されます。
しばらく待つと複製のステータスが「アクティブ」に変わり、東京リージョン用のアクセスポータル URL が表示されました。
外部 IdP を使用する場合と異なり、IdP 側での ACS URL 追加設定などは不要で、IAM Identity Center 側の設定だけでマルチリージョンが完結しました。
AWS Security Agent を追加リージョンで使えるか試してみた
マルチリージョンのもう一つのメリットとして、追加リージョンに AWS マネージドアプリケーションをデプロイできる点があります。
先日東京リージョンに対応した AWS Security Agent を、追加リージョン（東京）で IAM Identity Center の SSO と連携して使えるか確認してみました。
東京リージョンで AWS Security Agent のセットアップ画面を開いてみたところ、ユーザーアクセス設定で SSO が利用できない旨の警告が表示されました。
AWS Security Agent はプライマリリージョンでのみ IAM Identity Center の SSO をサポートしており、追加（レプリカ）リージョンでは使えないようです。
なるほど。アプリケーション側がサポートしていないとかもあるのか。気をつけよう。
さいごに
本日は AWS IAM Identity Center のマルチリージョンサポートが Identity Center ディレクトリを ID ソースとして使用するインスタンスにも拡張されたアップデートを確認してみました。
これまでマルチリージョンサポートは外部 IdP のみが対象だったため、Identity Center ディレクトリを使用している環境では恩恵を受けられませんでした。
今回の対応により、外部 IdP を用意していない環境でもプライマリリージョン障害時のアクセス継続性を確保できるようになっています。
しかも IdP 側の設定変更が不要な分、外部 IdP の場合よりもセットアップが簡単でした。
一方で、AWS Security Agent のように追加リージョンでの SSO に対応していないアプリケーションもあるので、マルチリージョンでアプリケーションを使いたい場合は事前に対応状況を確認しておくと良さそうです。
なお、Active Directory を ID ソースとして使用するケースは引き続き非対応みたいなので、認識しておきましょう。
