AWS IAM Identity Center

Définition

AWS IAM Identity Center (anciennement AWS Single Sign-On) est le service de gestion des identités centralisé AWS permettant de gérer l'accès multi-comptes et multi-applications à travers toute une organisation AWS. Il remplace la gestion manuelle des utilisateurs IAM dans chaque compte AWS par une identité unique fédérée depuis un Identity Provider (IdP) externe (Azure AD/Microsoft Entra ID, Okta, Ping Identity) ou depuis le répertoire intégré IAM Identity Center. IAM Identity Center s'intègre avec AWS Organizations pour permettre une gestion centralisée des accès à tous les comptes membres d'une organisation AWS. Les Permission Sets (ensembles de politiques IAM) définissent les droits accordés à un utilisateur ou groupe sur un compte spécifique (ex: le groupe DevOps a un Permission Set AdministratorAccess sur les comptes de développement, et un Permission Set ReadOnly sur les comptes de production). Ces attributions (Account Assignments) sont gérées centralement et déployées dans tous les comptes cibles. L'intégration SCIM (System for Cross-domain Identity Management) avec des IdPs externes (Azure AD, Okta) automatise le provisionnement et le déprovisionnement des utilisateurs et groupes dans IAM Identity Center. Quand un employé rejoint l'organisation et est ajouté au groupe Azure AD DevOps, SCIM le provisionne automatiquement dans IAM Identity Center et lui attribue les droits correspondants. Quand il quitte, la désactivation dans Azure AD révoque automatiquement tous ses accès AWS. IAM Identity Center prend en charge l'Attribute-Based Access Control (ABAC) cloud : les attributs de l'utilisateur (département, niveau de clearance, projet) sont transmis comme tags avec les credentials temporaires assumés, permettant de créer des politiques IAM dynamiques basées sur ces attributs. Par exemple, une politique autorisant l'accès uniquement aux ressources taguées avec le même département que l'utilisateur authentifié.