View a markdown version of this page

アカウントアクセスマネージャーの開始方法 - AWS Identity and Access Management
前提条件と考慮事項アカウントアクセスマネージャーを有効にするファイアウォールとゲートウェイを更新するアカウントアクセスマネージャーを削除する

アカウントアクセスマネージャーの開始方法

次の内容は、アカウントアクセスマネージャーの使用を開始する方法の概要です。割り当てる IAM ロールが、それぞれの AWS アカウント に既に存在することを前提としています。これらのロールが存在しない場合、新しいロールを作成する方法の詳細については、「カスタム信頼ポリシーを使用してロールを作成する」を参照してください。

アカウントアクセスマネージャーの開始方法

  1. IAM アイデンティティセンターの組織インスタンスが有効で、従業員のユーザーとグループがプロビジョニングされていることを確認してください。詳細については、「AWS IAM アイデンティティセンター ユーザーガイド」の「Getting started with IAM Identity Center」セクションを参照してください。詳細については、このトピックの後半で「前提条件と考慮事項」を参照してください。

    注記

    複数の AWS リージョンにレプリケートされた状態で使用するか、カスタマーマネージドキー (CMK) と一緒に IAM アイデンティティセンターを使用している場合、IAM アイデンティティセンターに接続する際、アカウントアクセスマネージャーがこの CMK を使用するための kms:Decrypt アクセス許可を追加する必要があります。詳細については、「AWS IAM アイデンティティセンターユーザーガイド」の「Baseline KMS key policy」を参照してください。

  2. アカウントアクセスマネージャーを有効にして、アカウント割り当てを管理するアクセス許可があることを確認してください。詳細については、「アカウントアクセスマネージャーの ID およびアクセス管理」を参照してください。

  3. コンソールまたは API を使用してアカウントアクセスマネージャーを有効にします。

  4. アカウントアクセスポータルにアクセスするため、ファイアウォールとゲートウェイを更新します。

  5. 信頼ポリシーを更新して、アカウントアクセスマネージャーに IAM ロールへのアクセスを付与します。

  6. IAM アイデンティティセンターで従業員のユーザーとグループにアカウントアクセスの割り当てを開始します。

  7. アカウントアクセスマネージャーのロール割り当てを使用して AWS アカウント にアクセスする方法をユーザーに伝えてください。

前提条件と考慮事項

次の前提条件と考慮事項が適用されます。

  • アカウントアクセスマネージャーは、デフォルトで有効になっている AWS 商用リージョンで使用できます。オプトイン商用リージョン、GovCloud (米国)、中国、その他の非商用リージョンはサポートされていません。

  • 有効にすると、アカウントアクセスマネージャーは IAM アイデンティティセンターの 1 つの組織インスタンスに接続します。AWS 組織と IAM アイデンティティセンターの組織インスタンスを事前に有効にする必要があります。IAM アイデンティティセンターのアカウントインスタンスはサポートされていません。

  • IAM アイデンティティセンターのインスタンスを有効にした AWS リージョンでアカウントアクセスマネージャーを有効にすることをお勧めします。まだ行っていない場合は、「AWS IAM アイデンティティセンター ユーザーガイド」の「Considerations for choosing an AWS Region」を参照してください。

  • IAM アイデンティティセンターの組織インスタンスとアカウントアクセスマネージャーの両方が、組織管理アカウントで有効になっている必要があります。

アカウントアクセスマネージャーを有効にする

IAM アイデンティティセンターの組織インスタンスを作成したら、コンソールまたは API を通じてアカウントアクセスマネージャーを有効にできます。IAM アイデンティティセンターのインスタンスと同じ AWS アカウント とリージョンで実行する必要があります。

アカウントアクセスマネージャーを有効にする前に、AWS 組織管理アカウントから次のコマンドを実行し、アカウントアクセスマネージャーに組織へのアクセス権を付与します。

aws organizations enable-aws-service-access --service-principal account-access.amazonaws.com
注記

アカウントアクセスマネージャーのコンソールは IAM コンソールの一部ですが、API は別の名前空間に存在します。

次のいずれかの方法を使用して、アカウントアクセスマネージャーを有効にします。

Console
アカウントアクセスマネージャーを有効にする方法

  1. 組織の管理アカウントにサインインします。

  2. AWS Identity and Access Management コンソールのナビゲーションペインで、[アカウントアクセスマネージャー] を選択します。

  3. コンソールリージョンが IAM アイデンティティセンターインスタンスの主なリージョンに設定されていることを確認します。

  4. IAM アイデンティティセンターの組織インスタンスがない場合は、続行する前に直ちに有効にするように求められます。それ以外の場合は、[アカウントアクセスマネージャーを有効にする] を選択します。

AWS CLI

まず、IAM アイデンティティセンターインスタンスの ARN を検索し、リージョンコードが IAM アイデンティティセンターの主なリージョンと一致することを確認します。次に、以下のコマンドを実行します。

aws account-access create-application \
  --region <Region> \
  --identity-source '{
    "identityCenter": {
      "instanceArn": "<IAM_IDENTITY_CENTER_INSTANCE_ARN>"
    }
  }'

ファイアウォールとゲートウェイを更新する

アカウントアクセスポータルでは、アカウントアクセスマネージャーを通じて割り当てられた AWS アカウント に対し、ユーザーに一回のサインオンアクセス権が付与されます。

次世代ファイアウォール (NGFW) や セキュア Web ゲートウェイ (SWG) などの Web コンテンツフィルタリングソリューションを使用し、特定の AWS ドメインや URL エンドポイントへのアクセスをフィルタリングする場合、アカウントアクセスポータルに関連付けられているドメインや URL エンドポイントを許可リストに追加する必要があります。

次のリストには、ウェブコンテンツフィルタリングソリューションの許可リストに追加するデュアルスタックドメインと URL エンドポイントが示されています。アカウントアクセスマネージャーには IPv4 専用エンドポイントはありません。

デュアルスタック許可リスト

アカウントアクセスポータル URL:

  • https://[Tenant-ID].account-access.[Region].app.aws

アカウントアクセスポータルが呼び出す API:

  • [Tenant-ID].account-access.[Region].app.aws/api/*

  • [Tenant-ID].account-access.[Region].app.aws/auth/*

Tenant-ID は、アカウントアクセスマネージャーに関連付けられた一意のランダム識別子です。値を見つけるには、アカウントアクセスマネージャーコンソールの [設定] タブに移動し、[インスタンスの詳細] セクションで [アプリケーション URL] を検索します。Tenant-ID は URL の最初のサブドメインです。

アカウントアクセスマネージャーのサービスエンドポイント:

  • コントロールプレーン: account-access.[Region].api.aws

  • ランタイム: account-access-runtime.[Region].api.aws

  • コンソール: console.aws.amazon.com/account-access

AWS CLI を使用する場合、組織管理アカウントまたは委任管理者アカウントで次の CLI コマンドを実行して、テナント ID を見つけることができます。

aws account-access list-applications

レスポンスには、アプリケーション ARN とテナント ID を含むアカウントアクセスマネージャーに関する情報が含まれています。

{
    "applications": [
        {
            "applicationArn": "arn:aws:account-access:us-west-2:123456789012:application/1234567890abcdef",
            "tenantId": "aa-gyxmap389",
            "createdAt": "2026-03-27T18:31:19+00:00",
            "updatedAt": "2026-03-27T18:31:19+00:00"
        }
    ]
}

ドメインと URL エンドポイントの許可リストに関する考慮事項

アカウントアクセスポータルの許可リスト要件に加え、使用する他のサービスやアプリケーションでは、ドメインの許可リストの追加が必要になる場合があります。

  • AWS アクセスポータルとその依存関係を許可リストに追加する必要があります。詳細については、「AWS IAM アイデンティティセンター ユーザーガイド」の「Updating firewalls and gateways to allow access to the AWS access portal」を参照してください。

  • AWS アカウント、AWS マネジメントコンソール、アカウントアクセスマネージャーコンソールにアクセスするには、追加のドメインを許可リストに追加する必要があります。AWS マネジメントコンソールドメインのリストについては、「AWS マネジメントコンソール Getting Started Guide」の「Troubleshooting」を参照してください。

アカウントアクセスマネージャーを削除する

アカウントアクセスマネージャーを削除すると、含まれているすべてのデータが削除され、復元できなくなります。

アカウントアクセスマネージャーを削除するには、次の手順に従ってください。

Console
アカウントアクセスマネージャーインスタンスを削除する方法

  1. 組織の管理アカウントにサインインします。

  2. AWS Identity and Access Management コンソールのナビゲーションペインで、[アカウントアクセスマネージャー] を選択します。

  3. コンソールリージョンがアカウントアクセスマネージャーインスタンスの主なリージョンに設定されていることを確認します。

  4. [設定] タブを選択します。

  5. [アカウントアクセスマネージャーの削除] セクションで、[削除] を選択します。

  6. ダイアログボックスによって確認が求められます。準備ができたら、[削除] を選択します。

AWS CLI

次のコマンドを実行して、アカウントアクセスマネージャーを削除します。

aws account-access delete-application \
  --region "<Region>" \
  --application-arn "<account_access_manager_ARN>"
警告

アカウントアクセスマネージャーの削除は元に戻せないため、次のようなことになります。

  • すべてのロール割り当ては完全に削除されます。ユーザーは、アカウントアクセスマネージャーを通じて割り当てた IAM ロールを使用して AWS アカウント にアクセスする権限を即座に失います。

  • アカウントアクセスマネージャーは、すべてのユーザーに対して AWS アクセスポータルが削除されます。

  • アカウントアクセスマネージャーを通じて割り当てられた IAM ロールのアクティブなセッションは、有効期限が切れるまで継続しますが、ユーザーは新しいセッションを開始できません。

  • 後でアカウントアクセスマネージャーを再度有効にする場合は、すべての割り当てを最初から再作成する必要があります。以前の割り当ては復元できません。

削除する前に、個々のアカウントでユーザーアクセスを無効にし、アクセスを一時的に制限することを検討してください。