# セッションおよびアクセス制御
<a name="aam-sessions-access-control"></a>

## セッションについて
<a name="aam-understanding-sessions"></a>

アカウントアクセスマネージャーで割り当てを使用して AWS アカウント にアクセスするユーザーは、次のセッションタイプを開始します。

1. **IAM ロールセッション** – ユーザーが引き受ける IAM ロールは、デフォルトの期間が 1 時間の AWS リソースへのアクセスのための一時的な認証情報です。

1. **アカウントアクセスポータルセッション** – ユーザーはアカウントアクセスポータルを使用するとき、このセッションを開始します。IAM アイデンティティセンターによって[アプリケーションセッション](https://docs.aws.amazon.com/singlesignon/latest/userguide/authconcept.html)として管理されます。

1. **AWS アクセスポータルセッション ([ユーザーインタラクティブセッション](https://docs.aws.amazon.com/singlesignon/latest/userguide/authconcept.html)とも呼ばれる)** – このセッションは IAM アイデンティティセンターによって管理されます。

1. **外部 ID ソース (IdP または Microsoft AD) セッション** – このセッションは、IAM アイデンティティセンターインスタンスが認証のために外部 ID ソースに接続されているときに適用されます。

セッション期間を含め、IAM アイデンティティセンターのユーザーインタラクティブセッションとアプリケーションセッションの詳細については、「*AWS IAM アイデンティティセンター ユーザーガイド*」の「[Understanding authentication sessions in IAM Identity Center](https://docs.aws.amazon.com/singlesignon/latest/userguide/authconcept.html)」を参照してください。

**重要**  
アカウントアクセスマネージャーによって割り当てられた IAM ロールのセッションは、IAM ロールに設定された最大セッション期間、アカウントアクセスポータルおよび AWS アクセス ポータルでのセッションのステータスにかかわらず、デフォルトのセッション期間である 1 時間で動作します。

## ユーザーアクセス権の取り消し
<a name="aam-revoke-user-access"></a>

アカウントアクセスマネージャーのロール割り当てを通じて引き受けたユーザーアクセスを取り消すには、「*AWS IAM アイデンティティセンター ユーザーガイド*」の「[Revoke user access](https://docs.aws.amazon.com/singlesignon/latest/userguide/revoke-user-permissions.html)」を参照してください。

## 属性ベースのアクセス制御
<a name="aam-abac"></a>

ID プロバイダー (IdP) を設定して、SAML アサーションを介して属性をセッションタグとして送信できます。これには、属性名を `https://aws.amazon.com/SAML/Attributes/AccessControl:TagKey` に設定します。ここで、{{TagKey}} は設定するセッションタグのキーです。IAM Identity Center は、ポリシー評価のために IdP から属性名と値を渡します。