# IAM アイデンティティセンターのクォータと制限
<a name="limits"></a>

次の表では、IAM Identity Center 内のクォータについて説明します。クォータの増額リクエストは、管理者アカウントまたは委任管理者アカウントから行う必要があります。クォータの増加をリクエストするには、「[クォータ増加のリクエスト](https://docs.aws.amazon.com/servicequotas/latest/userguide/request-quota-increase.html)」を参照してください。

**注記**  
50,000 人を超えるユーザー、10,000 以上のグループ、500 を超えるアクセス許可セット、または 3,000 を超えるアプリケーションがある場合は、AWS CLI と API を使用して IAM Identity Center を一元管理することをお勧めします。CLI の詳細については、 を参照してください[AWS CLI と IAM Identity Center の統合](integrating-aws-cli.md) API の詳細については、「[Welcome to the IAM Identity Center API Reference](https://docs.aws.amazon.com/singlesignon/latest/APIReference/welcome.html)」参照してください。

## アプリケーションクォータ
<a name="applicationlimits"></a>


| リソース | デフォルトのクォータ | 引き上げ可能 | 
| --- | --- | --- | 
| サービスプロバイダーの SAML 証明書のファイルサイズ (PEM 形式) | 2 KB | なし | 
| SAML アサーション制限 | 50,000 文字 | なし | 
| IAM アイデンティティセンターにアップロードされる IdP 証明書のファイルサイズ制限 | UTF-8 で 2500 文字 | なし | 
| アプリケーションごとのアクセススコープ | 25 | なし | 

## AWS アカウント のクォータ
<a name="awsaccountlimits"></a>


| リソース | デフォルトのクォータ | 引き上げ可能 | 
| --- | --- | --- | 
| IAM Identity Center で許可される許可セット数 | 3500 | はい | 
| AWS アカウント あたりに許可されるアクセス権限セット数  | 500 | はい | 
| アクセス権限セットあたりのインラインポリシーの数 | 1 | いいえ | 
| 権限セットごとの AWS 管理ポリシーとカスタマー管理ポリシーの数 | 251 | いいえ | 
| アクセス権限セットあたりのインラインポリシーの最大サイズ | 32,768 バイト<br />権限セットごとのインラインポリシー内の空白以外の文字の最大サイズは 10,240 バイトです。 | いいえ | 
| 一度に更新できる AWS アカウント 内の IAM ロール（権限セット）の数 | 1 | いいえ | 

1AWS Identity and Access Management (IAM) では、ロールごとに 10 個の管理ポリシーの割り当てが設定されます。このクォータを利用するには、権限セットをデプロイしたい AWS アカウント ごとに、Service Quotas コンソールで IAM クォータ「*IAM ロールに追加された管理ポリシー*」の増加をリクエストします。

**注記**  
[権限セットを使用して AWS アカウントを管理する](permissionsetsconcept.md) は IAM ロールとして AWS アカウント でプロビジョニングされるか、AWS アカウント で既存の IAM ロールを使用するため、IAM クォータに従います。IAM ロールに関する IAM クォータの詳細については、[「IAM と STS クォータ」](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_iam-quotas.html) を参照してください。

## Active Directory のクォータ
<a name="connecteddirectorylimits"></a>


| リソース | デフォルトのクォータ | 引き上げ可能 | 
| --- | --- | --- | 
| 一度に実現できる接続ディレクトリの数 | 1 | いいえ | 

## IAM Identity Center Identity Store クォータ
<a name="ssodirectorylimits"></a>


| リソース | デフォルトのクォータ | 引き上げ可能 | 
| --- | --- | --- | 
| IAM Identity Center でサポートされるユーザーの数 | 200000 | はい | 
| IAM Identity Center でサポートされるグループの数 | 100000 | はい | 

## IAM Identity Center のスロットル制限
<a name="ssothrottlelimits"></a>


| リソース | デフォルトのクォータ | 
| --- | --- | 
| IAM Identity Center API | 「[IAM Identity Center API](https://docs.aws.amazon.com/singlesignon/latest/APIReference/API_Operations.html)」のコレクティブスロットルは、毎秒 20 トランザクション (TPS) までに制限されています。読み取り API の場合、サポートケースを開いて上限の引き上げをリクエストできます。[CreateAccountAssignment](https://docs.aws.amazon.com/singlesignon/latest/APIReference/API_CreateAccountAssignment.html) 書き込み API は、未処理の非同期呼び出しが 15 件に制限されています。この制限を増やすことはできません。 | 
| Identity Store API |  「[Identity Store API](https://docs.aws.amazon.com/singlesignon/latest/IdentityStoreAPIReference/welcome.html)」のスロットルは、API ごとに毎秒 20 トランザクション (TPS) までに制限されています。この制限は、Identity Store インスタンスごとに適用されます。サポートケースを開いて、制限の引き上げをリクエストできます。 | 
| SCIM API | [SCIM API](https://docs.aws.amazon.com/singlesignon/latest/developerguide/what-is-scim.html) には API ごとにスロットリングの制限があり、書き込み API は 1 秒あたり 25 トランザクション (TPS)、読み取り API は 40 TPS です。これらの制限は、Identity Store インスタンスごとに適用されます。サポートケースを開いて、制限の引き上げをリクエストできます。<br />`CreateGroup` や `PatchGroup` を呼び出す際の各メンバーシップオペレーションは、トランザクションとしてカウントされ、Identity Store ごとに別個のメンバーシップオペレーションスロットリング制限の対象となります。 | 

IAM Identity Center インスタンスが複数の AWS リージョン で有効になっている場合、スロットリング制限は有効になっている各リージョンに等しく適用されます。例えば、有効な各リージョンの Identity Store API には 20 TPS のスロットリング制限があります。追加リージョンで使用できる API オペレーションの詳細については、対応する[表](api-support-in-additional-regions.md)を参照してください。

## OIDC サービスリクエストのクォータ
<a name="oidcthrottlelimits"></a>


| リソース | デフォルト値 (1 秒あたりのリクエスト) | 引き上げ可能 | 
| --- | --- | --- | 
| パブリック OAuth クライアントを登録するリモートアドレスからのリクエストレート<br />適用先: [ RegisterClient ](https://docs.aws.amazon.com/singlesignon/latest/OIDCAPIReference/API_RegisterClient.html) | 20 | はい | 
| OIDC サービスに登録されたパブリッククライアントからのリクエストレート<br />適用先: [ CreateToken](https://docs.aws.amazon.com/singlesignon/latest/OIDCAPIReference/API_CreateToken.html)、[StartDeviceAuthorization](https://docs.aws.amazon.com/singlesignon/latest/OIDCAPIReference/API_StartDeviceAuthorization.html) | 80 | はい | 
| 同じ IAM アイデンティティセンターインスタンスに登録されているすべてのパブリッククライアントからのリクエストレート<br />適用先: [ CreateToken ](https://docs.aws.amazon.com/singlesignon/latest/OIDCAPIReference/API_CreateToken.html) | 250 | はい | 
| トークン交換付与および更新トークン付与を使用して IAM Identity Center インスタンスに登録された IAM Identity Center アプリケーションからのリクエストレート<br />適用先: [ CreateTokenWithIAM ](https://docs.aws.amazon.com/singlesignon/latest/OIDCAPIReference/API_CreateTokenWithIAM.html) | 80 | はい | 
| 同じ IAM アイデンティティセンターインスタンスに登録されているすべての IAM アイデンティティセンターアプリケーションによる、JWT ベアラー認可方式でのトークン生成レート<br />適用先: [ CreateTokenWithIAM ](https://docs.aws.amazon.com/singlesignon/latest/OIDCAPIReference/API_CreateTokenWithIAM.html) | 10 | AWS Support へのお問い合わせ | 

IAM Identity Center インスタンスが複数の AWS リージョン で有効になっている場合、上記のリクエストレートは有効な各リージョンに等しく適用されます。例えば、リモートアドレスからパブリック OAuth クライアントを登録するために許可されたリクエストレートが 1 秒あたり 20 リクエストの場合、このスループットは有効な各リージョンで使用できます。追加リージョンで使用できる API オペレーションの詳細については、対応する[表](api-support-in-additional-regions.md)を参照してください。

## 追加のクォータ
<a name="additionallimits"></a>


| リソース | デフォルトのクォータ | 引き上げ可能 | 
| --- | --- | --- | 
| 設定できる AWS アカウント またはアプリケーションの総数 \* \*\* | 7000 | はい | 
| IAM アイデンティティセンターのアカウントごとの合計インスタンス数 | 1 | いいえ | 
| 信頼できるトークン発行者の総数 | 10 | いいえ | 
| AWS アカウント ごとにアクセス許可セットまたはアプリケーションに割り当てることができるグループの総数 | 100 | いいえ | 
| 1 つの IAM Identity Center インスタンスで有効になっている AWS リージョン の総数 | 6 | はい | 

\* このクォータは、AWS アカウント とアプリケーションに個別に適用されます。最大 7,000 個のアカウントと最大 7,000 個のアプリケーションを設定できます。

\*\* [`ProvisionPermissionSet`](https://docs.aws.amazon.com/singlesignon/latest/APIReference/API_ProvisionPermissionSet.html) API オペレーションは、オプション `ALL_PROVISIONED_ACCOUNTS` を使用してアクセス許可セットを最大 3500 AWS アカウント にプロビジョニングできます。アクセス許可セットを 3500 を超える AWS アカウント にプロビジョニングする必要がある場合は、`AWS_ACCOUNT` オプションで `ProvisionPermissionSet` API オペレーションを使用できます。これにより、アクセス許可セットが 1 つの AWS アカウント にプロビジョニングされます。`ProvisionPermissionSet` に対して最大 3 つの同時呼び出しを行うことができます。