# アクセスコントロールの属性
<a name="attributesforaccesscontrol"></a>

[**アクセスコントロールの属性**] は、IAM Identity Center コンソールのページ名で、リソースへのアクセスコントロールをするためのポリシーで使用するユーザー属性を選択します。管理者は、ユーザーの ID ソースにある既存の属性に基づいて、AWS のワークロードにユーザーを割り当てることができます。

例えば、部署名に基づいて S3 バケットへのアクセスを割り当てたいとします。**[Attributes for access control]** (アクセスコントロールの属性)では、属性ベースのアクセスコントロール (ABAC) で使用する **Department** (部署) ユーザー属性を選択します。IAM Identity Center 権限セット (またはアカウントアクセスマネージャーを使用する場合は IAM ロール) では、**部署**属性が、S3 バケットに割り当てた部門タグと一致した場合にのみ、ユーザーにアクセスを許可するポリシーを書き込みます。IAM Identity Center は、アクセスされるアカウントに、ユーザーの部門属性を渡します。そして、その属性は、ポリシーに基づいてアクセスを決定するために使用されます。これらの属性は、IAM Identity Center からアカウントに渡ると、セッションタグとして送信されます。セッションタグは、関連するすべての AWS IAM ポリシータイプで `aws:PrincipalTag/{{tag-key}}` 条件キーを使用して参照できます。ABAC の詳細については、「[属性ベースのアクセス制御](abac.md)」を参照してください。

## 開始方法
<a name="abac-getting-started"></a>

アクセスコントロールの属性設定をどのように始めるかは、使用している ID ソースによって異なります。選択した ID ソースにかかわらず、属性を選択した後、アクセス権限セットのポリシー (またはアカウントアクセスマネージャーを使用する場合は IAM ロールポリシー) を作成または編集する必要があります。これらのポリシーは、ユーザーの ID に AWS リソースへのアクセスを許可する必要があります。

### IAM Identity Center を ID ソースとして使用する際の属性を選択する
<a name="abac-getting-started-sso"></a>

IAM Identity Center を ID ソースとして設定する場合、まずユーザーを追加し、その属性を設定します。次に、**[Attributes for access control]** (アクセスコントロールの属性) ページに移動して、ポリシーで使用する属性を選択します。最後に、**AWS アカウント**のページに移動して、ABAC の属性を使用するための権限セットを作成または編集します。

### AWS Managed Microsoft AD を ID ソースとして使用する際の属性を選択する
<a name="abac-getting-started-ms-ad"></a>

AWS Managed Microsoft AD を ID ソースとして IAM Identity Center を構成する場合、まず Active Directory の属性セットを IAM Identity Center のユーザー属性にマッピングします。次に、**[Attributes for access control]** (アクセスコントロールの属性) のページに移動します。次に、アクティブディレクトリからマッピングされた既存の SSO 属性のセットに基づいて、ABAC 構成で使用する属性を選択します。最後に、アクセス権限セット (またはアカウントアクセスマネージャーを使用する場合は IAM ロール) に含まれるアクセスコントロール属性を使用して、AWS リソースへのアクセスをユーザー ID に許可する ABAC ルールを作成します。IAM Identity Center のユーザー属性と AWS Managed Microsoft AD ディレクトリのユーザー属性のデフォルトマッピングの一覧は、「[IAM アイデンティティセンターと Microsoft AD の間のデフォルトのマッピング](attributemappingsconcept.md#defaultattributemappings)」を参照してください。

### 外部 ID プロバイダーを ID ソースとして使用する際の属性を選択する
<a name="abac-getting-started-idp"></a>

外部 ID プロバイダー (IdP) を ID ソースとして IAM Identity Center を構成する場合、ABAC で属性を使用する方法は 2 つあります。
+ **IAM Identity Center コンソールで属性マッピングを設定します。**IAM Identity Center ディレクトリの属性を、IAM Identity Center コンソールの **[アクセスコントロールの属性]** ページのセッションタグにマッピングできます。ここで選択した属性値は、アイデンティティセンターディレクトリから取得されたもので、SAML アサーションを介して IdP から取得された一致する属性の値を置き換えます。SCIM の使用状況に応じて、次のことを考慮してください。
  + SCIM を使用している場合、IdP は属性値を自動的に IAM Identity Center に同期させます。その後、**[アクセスコントロールの属性]** ページでこれらの同期された属性を選択して、セッションタグとして使用できます。
  + SCIM を使用しない場合は、IAM Identity Center を ID ソースとして使用する場合と同様に、手動でユーザーを追加し、属性を設定する必要があります。次に、**[Attributes for access control]** (アクセスコントロールの属性) ページに移動して、ポリシーで使用する属性を選択します。
+ **IdP から SAML アサーションを介して属性を渡します。**SAML アサーションを通じてセッションタグとして属性を送信するように IdP を設定することができます。これを行うには、属性名を `https://aws.amazon.com/SAML/Attributes/AccessControl:{{TagKey}}` に設定したうえで SAML アサーションを送信するように IdP を設定します。{{TagKey}} は、入力するセッションタグキーに置き換えます。この場合、IAM Identity Center はポリシー評価のために IdP から属性名と値を渡します。

  外部 IdP から SAML アサーションを介して属性を渡す場合、**[アクセスコントロールの属性]** ページで ABAC 属性マッピングを設定する必要はありません。ただし、**[アクセスコントロールの属性]** ページで同じ属性の ABAC マッピングを設定すると、Identity Center ディレクトリからのマッピングが優先され、SAML アサーションで IdP によって送信された値が置き換えられます。
**注記**  
SAML アサーションの属性は、**[Attributes for access control] **(アクセスコントロールの属性) ページには表示されません。これらの属性を事前に把握しておき、ポリシー作成時にアクセスコントロールルールに追加する必要があります。属性の外部 IdP を信頼する場合、ユーザーが AWS アカウント にフェデレーションする際に、これらの属性が常に渡されます。SAML アサーションの送信のために IdP 側でアクセス制御用のユーザー属性を構成する方法については、お使いの IdP の [IAM アイデンティティセンターの ID ソースに関するチュートリアル](tutorials.md) を確認してください。

IAM Identity Center のユーザー属性から外部 IdP のユーザー属性まで、サポートされている属性の完全なリストについては、「[サポートされている外部 ID プロバイダ属性](attributemappingsconcept.md#supportedidpattributes)」を参照してください。

IAM Identity Center で ABAC を使い始めるには、以下のトピックを参照してください。

**Topics**
+ [開始方法](#abac-getting-started)
+ [アクセスコントロールのための属性の有効化と設定](configure-abac.md)
+ [IAM Identity Center を使用して ABAC の権限セットを作成する](configure-abac-policies.md)