AWS IAM Identity Center 功能

IAM Identity Center 在 AWS Identity and Access Management (IAM) 角色和策略基础上构建，用于帮助您在 AWS 组织中的所有 AWS 账户之间集中管理访问权限。IAM Identity Center 使用权限集，它是一种或多种 IAM 策略的集合。然后，您可以分配权限集以定义用户/组的访问权限。根据这些分配方案，服务创建由 IAM Identity Center 控制的 IAM 角色，并将在权限集中指定的策略附加到每个指定账户内的这些角色。无需在单个账户中进行额外的配置。 

IAM Identity Center 通过一系列合作伙伴集成选项提供临时提升访问权限。AWS 已证实，您可以使用 CyberArk Secure Cloud Access、Tenable Cloud Security 和 Okta Access Requests 来帮助处理一系列临时提升访问权限场景，包括需要完全可审计性的敏感操作、具有复杂授权和审计需求的多云环境，以及使用多个身份源和应用程序集成的组织。没有执行敏感操作（例如在生产环境中更改高价值资源的配置）的长期权限的员工用户可以申请访问权限、获得批准并在指定时间内执行操作。而且，您的审计员可以查看合作伙伴解决方案中的操作和批准日志。

在 IAM Identity Center 控制台内，通过应用程序分配来提供对多种 SAML 2.0 业务应用程序的单点登录访问权限，包括 Salesforce、Box 和 Microsoft 365。您可以按 IAM Identity Center 内的分步说明轻松配置对这些应用程序的单点登录访问权限。它将指导您完成输入必要 URL、证书和元数据的过程。有关预先集成 IAM Identity Center 的业务应用程序的完整列表，请参阅 IAM Identity Center 云应用程序。

可信身份传播建立在 OAuth 2.0 授权框架之上，该框架允许应用程序代表特定用户访问数据和其他资源，而无需共享该用户的凭证。IAM Identity Center 的这一功能简化了用户的数据访问管理、审计，并改善了分析用户在多个 AWS 分析应用程序中的登录体验。首先，应用程序的所有者、身份源和数据管理员将应用程序连接到服务，并开始管理基于用户和群组的访问权限。然后，资源管理员可以使用其身份源中的现有身份和群组成员资格，配置和管理应用程序内的数据资源访问权限。审计和安全团队可以跟踪每个用户对数据资源的访问权限。数据分析师可以利用熟悉的单点登录经验，在 AWS 分析服务（Amazon Redshift、Amazon Quicksight、Amazon S3、Amazon EMR 和 AWS LakeFormation）上无缝访问分配的数据。了解有关可信身份传播的更多信息。 

IAM Identity Center 让您能够根据 IAM Identity Center 身份存储中定义的用户属性轻松地创建和使用精细的工作人员权限。IAM Identity Center 允许您选择多种属性，例如成本中心、职位或区域，然后将它们用于基于属性的访问控制 (ABAC) 以简化和集中处理访问管理工作。您可以一次性为整个 AWS 组织定义权限，然后您只需更改身份源中的属性即可授予、撤消或修改 AWS 访问权限。

了解与 ABAC 有关的更多信息 »

IAM Identity Center 支持从 AWS Organizations 委派管理员账户对您企业中的所有成员账户进行集中管理和 API 访问。这意味着您可以在您的组织中指定一个账户，用于集中管理所有成员账户。通过委派管理，您可以减少使用管理账户的需要，从而遵循推荐的实践。

IAM Identity Center 支持多种安全标准和合规性要求，包括对支付卡行业 - 数据安全标准 (PCI DSS)、国际标准化组织 (ISO)、系统和组织控制 (SOC) 1、2 和 3、Esquema Nacional de Seguridad (ENS) High、金融市场监管局 (FINMA) 鉴证业务 (ISAE) 3000 第 2 类报告国际准则要求和多层云安全 (MTCS) 的支持。该服务仍接受信息安全注册评估师计划（IRAP）受保护级别评测。

IAM Identity Center 可以作为组织实例或账户实例进行部署。IAM Identity Center 的组织实例部署在 AWS Organizations 的管理账户中。这是对员工进行身份验证和授权的最佳做法和推荐方法。它是多账户生产环境中 AWS 账户和应用程序的单一中央访问控制点。IAM Identity Center 的账户实例是一种限定范围的部署，可由业务用户完成，目的是快速评估受支持的 AWS 应用程序（例如 Amazon Redshift）并将其提供给一小部分应用程序用户。组织实例的管理员可以通过服务控制策略（SCP，AWS Organizations 的一项功能）来控制企业用户创建账户实例的能力。

使用 IAM Identity Center 应用程序分配配置向导，您可以创建与支持 SAML 2.0 的应用程序的单点登录集成。该应用程序分配配置向导可以帮助您选择并格式化要发送到应用程序的信息，以启用单点登录访问。例如，您可以为用户名创建 SAML 属性并根据 AD 配置文件中的用户电子邮件地址指定该属性的格式。

所有管理和多账户访问活动均记录在 AWS CloudTrail 中，使您可以集中审核 IAM Identity Center 活动。通过 CloudTrail，您可以查看登录尝试、应用程序分配和目录集成更改等活动。例如，您可以查看用户在给定时期内访问的应用程序，或者用户被授予对特定应用程序的访问权限的具体时间。