Microsoft Entra Permissions Management に単一の AWS アカウントをオンボードしている状態において追加の AWS アカウントをオンボードしてみた

先日、Microsoft Entra Permissions Management に単一の AWS アカウントをオンボードする下記ブログを書きました。データコネクタ設定の「Manage Authorization Systems」において「Enter Authorization Sytems」を選択しているパターンです。今回は、下記ブログの通り AWS アカウントをオンボードしている状態において、追加の AWS アカウントをオンボードする方法が気になったことから試してみました。

2 個目の AWS アカウントをオンボードするイメージ

冒頭で紹介したブログにおいて、1 個目の AWS アカウントをオンボードしている状態の構成イメージ図です。Microsoft Entra ID のアプリと AWS の IAM ID プロバイダが連携しており、ID プロバイダのある AWS アカウントからオンボードした AWS アカウントにスイッチロールしてアクセスするような構成となっています。

この状態で 2 個目の AWS アカウントをオンボードする場合のイメージ図です。Microsoft Entra ID のアプリと AWS の IAM ID プロバイダは同じリソースを利用して、2 個目のオンボード対象の AWS アカウントに IAM ロールを作成することになります。

2 個目の AWS アカウントをオンボードする設定

追加の AWS アカウントをオンボードしていみます。

作成済みのデータコネクタから「Edit Configuration」を選択します。

「Back」を 2 回実行して「Manage Authorization Systems」の設定まで戻ります。

「Enter Authentication Systems」の設定において、追加の AWS アカウントをカンマ区切りで追記します。カンマの後にスペースは不要でした。下記の入力イメージです。

111122223333,444455556666

次に、追加のオンボード対象の AWS アカウントに対して IAM ロールを作成するために、同じ画面の下部にある CloudFormation のテンプレートをダウンロードします。

ダウンロードした CloudFormation テンプレートを AWS 側で展開します。

CloudFortmaiton サービスにおいて「スタックの作成」を実行して、ダウンロードしたテンプレートをアップロードして進めます。ダウンロードしたテンプレートのファイル名はmember-account-script.yamlでした。

パラメータの入力では「CloudTrail Bucket Name」に CloudTrail のログを配信している S3 バケット名を入力します。Permissions Management において自動修復機能を利用したい場合は「Enable Controller」をtrueに変更します。今回は読み取り権限のみを与えるfalseを指定しています。OIDC Provider Account ID にはデフォルトで AWS の ID プロバイダが構築されている AWS アカウント ID が入力されているはずです。他のパラメータはデフォルトのまま進めてみます。

そのままデフォルト設定で「次へ」で進めていき、最後の確認で IAM リソースの作成を承認するチェックを入れて実行します。

ステータスがCREATE_COMPLETEになれば展開完了です。IAM ロールと IAM ポリシーが作成されていることが分かります。

以上で AWS 側の設定は終わりです。

Permissions Management の設定に戻って「Next」で最後まで進めていき、「Verify Now & Save」を実行すれば設定完了です。

データコネクタの設定画面で「Status」の値をクリックするとオンボード状況を確認できます。

2 つの AWS アカウントがあることがあることが分かります。モザイクしている部分に AWS アカウント ID が表示されています。「Status」がOnboarded状態であればオンボード済みです。設定を追加した直後はConsentedなどの別のステータスになっていると思います。

DASHBOARD 画面においても 2 個の AWS アカウントを確認できました。

以上で 2 個目の AWS アカウントのオンボード設定は終わりです。

さいごに

先日、Microsoft Entra Permissions Management に単一の AWS アカウントをオンボードするブログを書いた後に 2 個目の AWS アカウントのオンボード方法が気になったので、試してみました。既存のデータコネクタ設定を編集して追加するだけで簡単に設定できました。また、2 個目の AWS アカウントのオンボード方法を調べていく中で AWS 側で作成されるリソースへの理解を深めることもできました。

以上、このブログがどなたかのご参考になれば幸いです。