![[アップデート] AWS IAM Identity Center がマルチリージョンをサポートしました](https://images.ctfassets.net/ct0aopd36mqt/wp-thumbnail-14065d3d54d195fc74d726c1950f7e3a/c847507d538044ec935625e716d204aa/aws-iamidentity-center?w=3840&fm=webp)
[アップデート] AWS IAM Identity Center がマルチリージョンをサポートしました
いわさです。
AWS IAM Identity Center は AWS マネージドな ID 基盤として利用できるサービスで、様々なアプリケーションと統合して認証基盤として利用したり、AWS Organizations 環境下の場合であれば IAM Identity Center のユーザーに許可セットを割り当てることでマルチアカウントへのアクセス導線や権限の一元管理を行うことができます。
非常に強力な機能ですが、IAM Identity Center はリージョナルサービスであり、さらに単独のリージョンでのみ構築できるものとなっていました。
先日のアップデートで AWS IAM Identity Center がなんとマルチリージョンをサポートしました。
これによって、例えば DR 要件で IAM Identity Center もマルチリージョンで作成したかったり、あるいはデータ保管要件などで別のリージョンを使いたい場合などに対応が出来るようになりました。
前提条件や注意事項
まず、この機能ですが前提条件や制限事項が結構多いので十分に注意する必要があります。まずは公式ドキュメントを読みましょう。
IAM Identity Center には組織インスタンスとアカウントインスタンスがありますが、この機能は組織インスタンスでのみ利用可能です。
さらに、アイデンティティソースにも気をつける必要があって、Okta などの外部 IdP が統合されている必要があります。
さらに、IAM Identity Center はデータを保管する際に KMS を利用しますが、マルチリージョンのカスタマーマネージドキーを使う必要があります。
設定してみる
アイデンティティソースを外部 ID プロバイダーに変更する
ということで設定してみましょう。
IAM Identity Center 設定画面の「管理」タブから設定が可能なのですが、アイデンティティソースがデフォルトの IAM Identity Center ディレクトリの場合は特に設定項目が見当たらないと思います。
ということでアイディンティティソースを変更しましょう。
ここの手順は割愛しますが、今回はアイデンティティソースに Microsoft Entra ID を統合しました。
すると、次のように管理タブに「IAM Identity Center のリージョン」という設定エリアが表示されました。
なるほど！
カスタマーマネージドキーに変更する
上記のようにデフォルトでは IAM Idetity Center はデータの保管にカスタマーマネージドキーを使用します。
AWS マネージドキーはマルチリージョンをサポートしていないので、カスタマーマネージドキーを使う必要があります。
まずは適当に作成したカスタマーマネージドキーを設定してみます。
ちょっとメッセージ変わったの、わかりますかね。
カスタマーマネージドキーではあるが、シングルリージョンキーが使われているのでダメだぞーと言われているのです。
ということでマルチリージョンキーを作りましょう。
マルチリージョンキーというのは KMS のオプションで複数の AWS リージョンにレプリケートできる KMS キーのことです。
KMS キー作成のときに詳細オプションで設定ができます。
マルチリージョンキーを設定しなおすと次のようにリージョンが表示されるようになりました。
やったね！
リージョンを追加する
つづいて、IAM Identity Center でサポートするリージョンを追加してみましょう。
私は普段バージニア北部リージョンで組織インスタンスを運用しています。
この時、東京リージョンを開くと次のように表示がされます。
「IAM Identity Center のリージョン」パネルからリージョンを追加してみましょう。
こんな感じで追加リージョンの設定画面が表示されます、がリージョンの選択が出来ません。
先程作成した KMS のマルチリージョンキーですが、キーを作成しただけではダメです。
マルチリージョンキーはリージョンを指定して明示的にレプリカキーを生成することが出来ます。これが必要です。
バージニア北部リージョンで作成したマルチリージョンキーの東京リージョンのレプリカキーを作成してみました。
すると IAM Identity Center 側でも追加リージョンに選択ができるようになりました。
リージョン追加後の様子
追加すると、次のように対応リージョン一覧に表示されるようになります。
有効化まで数分かかります。どうやら URL などはリージョンごとに違うみたいですね。URLにリージョン名が含まれていました。
この状態で東京リージョンにアクセスしてみると、IAM Identity Center を表示することが出来ます。すごい。
ただ、すべての機能にアクセスできるわけではないみたいです。
ユーザー管理やアプリケーションの割り当て管理などにはこんな感じで通常どおり表示ができました。アプリケーションはカスタムアプリケーションもサポートしていましたね。
マルチアカウントのアクセス許可メニューはこんな感じで、プライマリリージョンを利用するようにメッセージが表示されました。
さいごに
本日は AWS IAM Identity Center がマルチリージョンをサポートしたようだったので、まずはセットアップしてみました。
コンプライアンス要件、地理的なパフォーマンス、リージョン指定が必要な AWS サービスなどに対応できるようになりそうです。
公式ドキュメントによると、ここからうまく活用するために複数の ACS URL を外部 IdP 側で設定するなどが必要みたいなのでそのあたりを次は試してみたいと思います。
