セッションおよびアクセス制御
セッションについて
アカウントアクセスマネージャーで割り当てを使用して AWS アカウント にアクセスするユーザーは、次のセッションタイプを開始します。
-
IAM ロールセッション – ユーザーが引き受ける IAM ロールは、デフォルトの期間が 1 時間の AWS リソースへのアクセスのための一時的な認証情報です。
-
アカウントアクセスポータルセッション – ユーザーはアカウントアクセスポータルを使用するとき、このセッションを開始します。IAM アイデンティティセンターによってアプリケーションセッションとして管理されます。
-
AWS アクセスポータルセッション (ユーザーインタラクティブセッションとも呼ばれる) – このセッションは IAM アイデンティティセンターによって管理されます。
-
外部 ID ソース (IdP または Microsoft AD) セッション – このセッションは、IAM アイデンティティセンターインスタンスが認証のために外部 ID ソースに接続されているときに適用されます。
セッション期間を含め、IAM アイデンティティセンターのユーザーインタラクティブセッションとアプリケーションセッションの詳細については、「AWS IAM アイデンティティセンター ユーザーガイド」の「Understanding authentication sessions in IAM Identity Center」を参照してください。
重要
アカウントアクセスマネージャーによって割り当てられた IAM ロールのセッションは、IAM ロールに設定された最大セッション期間、アカウントアクセスポータルおよび AWS アクセス ポータルでのセッションのステータスにかかわらず、デフォルトのセッション期間である 1 時間で動作します。
ユーザーアクセス権の取り消し
アカウントアクセスマネージャーのロール割り当てを通じて引き受けたユーザーアクセスを取り消すには、「AWS IAM アイデンティティセンター ユーザーガイド」の「Revoke user access」を参照してください。
属性ベースのアクセス制御
ID プロバイダー (IdP) を設定して、SAML アサーションを介して属性をセッションタグとして送信できます。これには、属性名を https://aws.amazon.com/SAML/Attributes/AccessControl:TagKey に設定します。ここで、TagKey は設定するセッションタグのキーです。IAM Identity Center は、ポリシー評価のために IdP から属性名と値を渡します。
