IAM アイデンティティセンターのアカウントインスタンス

IAM Identity Center のアカウントインスタンスを使用すると、サポートされている AWS マネージドアプリケーションと OIDC ベースのカスタマーマネージドアプリケーションをデプロイできます。アカウントインスタンスは、IAM Identity Center ワークフォースアイデンティティとアクセスポータル機能を活用して AWS アカウント、単一の でアプリケーションの独立したデプロイをサポートします。

アカウントインスタンスは 1 つの にバインド AWS アカウント され、同じアカウントおよび でサポートされているアプリケーションのユーザーおよびグループのアクセスを管理するためにのみ使用されます AWS リージョン。ごとに 1 つのアカウントインスタンスに制限されています AWS アカウント。以下のいずれかからアカウントインスタンスを作成できます。

• のメンバーアカウント AWS Organizations。

• によって管理 AWS アカウント されていないスタンドアロン AWS Organizations。

トピック

• メンバーアカウントの可用性制約

• アカウントインスタンスを使用するタイミング

• アカウントインスタンスに関する考慮事項

• AWS アカウントインスタンスをサポートする マネージドアプリケーション

• メンバーアカウントでアカウントインスタンスの作成を許可する

• サービスコントロールポリシーを使用してアカウントインスタンスの作成を制御する

メンバーアカウントの可用性制約

IAM Identity Center のアカウントインスタンスを AWS Organizations メンバーアカウントにデプロイするには、次のいずれかの条件が満たされている必要があります。

• 組織内に IAM アイデンティティセンターの組織インスタンスがないこと。

• 組織内に IAM アイデンティティセンターの組織インスタンスがあり、インスタンス管理者は IAM アイデンティティセンターのアカウントインスタンス (2023 年 11 月 15 日以降に作成された組織インスタンスの場合) の作成を許可します。

• 組織内に IAM アイデンティティセンターの組織インスタンスがあるが、インスタンス管理者が組織内のメンバーアカウント によるアカウントインスタンス作成を手動で有効化している (2023 年 11 月 15 日以前に作成された組織インスタンスの場合)。手順については、「メンバーアカウントでアカウントインスタンスの作成を許可する」を参照してください。

上記の条件のいずれかを満たしていることを前提として、さらに以下の条件がすべて満たされている必要があります。

• 管理者が、メンバーアカウントによるアカウントインスタンスの作成を禁止するサービスコントロールポリシーを作成していないこと。

• に関係なく、この同じアカウントに IAM アイデンティティセンターのインスタンスがまだありません AWS リージョン。

• IAM Identity Center AWS リージョン が利用可能な で作業している。リージョンの詳細については、「IAM Identity Center リージョンのデータストレージとオペレーション」を参照してください。

アカウントインスタンスを使用するタイミング

ほとんどの場合には、組織インスタンスをお勧めします。アカウントインスタンスは、以下のシナリオのいずれかに当てはまる場合にのみ使用してください。

• サポートされている AWS マネージドアプリケーションの一時的なトライアルを実行して、アプリケーションがビジネスニーズに適しているかどうかを判断します。

• 組織全体で IAM アイデンティティセンターを導入する予定はありませんが、1 つ以上の AWS マネージドアプリケーションをサポートしたいと考えています。

• IAM アイデンティティセンターの組織インスタンスはあるが、サポートされている AWS マネージドアプリケーションを、組織インスタンス内のユーザーとは異なる、分離されたユーザーグループにデプロイしたいと考えている。

• 自分が運営している AWS 組織を自分が管理していない。例えば、サードパーティーが を管理する AWS 組織を制御します AWS アカウント。

重要

IAM Identity Center を使用して複数のアカウントのアプリケーションをサポートする場合は、組織インスタンスを使用します。アカウントインスタンスはこのユースケースをサポートしていません。

アカウントインスタンスに関する考慮事項

アカウントインスタンスは特殊なユースケース向けに設計されており、組織インスタンスで使用できる機能のサブセットを提供します。アカウントインスタンスを作成する前に、以下を考慮してください。

• アカウントインスタンスはアクセス許可セットをサポートしていないため、 へのアクセスをサポートしていません AWS アカウント。

• アカウントインスタンスを組織インスタンスに変換することはできません。

• アカウントインスタンスを組織インスタンスにマージすることはできません。

• アカウントインスタンスは、一部の AWS マネージドアプリケーションのみでサポートされています。

• アカウントインスタンスは、1 つのアカウントでのみアプリケーションを使用する孤立したユーザーで、使用するアプリケーションの存続期間中だけ使用してください。

• アカウントインスタンスにアタッチされたアプリケーションは、アプリケーションとそのリソースを削除するまでアカウントインスタンスにアタッチされたままにしておく必要があります。

• アカウントインスタンスは、作成された AWS アカウント に残っている必要があります。

AWS アカウントインスタンスをサポートする マネージドアプリケーション

IAM Identity Center のアカウントインスタンスをサポートする AWS マネージドアプリケーションAWS マネージドアプリケーションについては、「」を参照してください。 AWS マネージドアプリケーションでアカウントインスタンス作成の可用性を確認します。

IAM Identity Center のアカウントインスタンスを有効にする手順については、「」を参照してくださいIAM Identity Center のインスタンスを有効にするには。