AWS IAM Identity Center で AWS アカウントアクセスの管理を「選択制」に：アプリケーション管理のみの利用が可能に

AWS IAM Identity Center の新規組織インスタンス作成時において、AWS アカウントへのアクセス管理を有効にするかどうかを選択できるようになりました。これにより、AWS アカウントへのアクセス権限管理を行わず、AWS アプリケーションへのシングルサインオン（SSO）アクセスのみを管理対象とする運用が可能になります。この機能は新規インスタンスの初期設定時に適用され、既存のインスタンスには影響を与えません。また、インスタンス設定または UpdateInstance API を使用して、後からアカウント管理権限を有効にすることも可能です。

💡 エンジニア視点の考察

Problem/Solution: セキュリティと運用の分離

これまでは、IAM Identity Center を導入すると、必然的に AWS アカウントへのアクセス管理（サービスリンクドロールのプロビジョニング）もセットで行う必要がありました。今回のアップデートにより、**「AWS アプリケーションへの SSO アクセスのみを提供したい」**というユースケースにおいて、不要な権限やロールのプロビジョニングを回避できるようになります。

Security Benefit: 攻撃対象領域の削減

アカウント管理を無効に設定した場合、メンバーアカウント内にサービスリンクドロールが作成されないため、環境全体のアクセスサーフェス（攻撃対象領域）を最小化できるという大きなメリットがあります。最小権限の原則に基づいた運用が可能です。

Japan Context: リージョン提供状況

最新のリージョン状況を確認したところ、本機能は 東京リージョン (ap-northeast-1) および 大阪リージョン (ap-northeast-3) を含む、IAM Identity Center が提供されているすべてのリージョンで利用可能です。

Practical Advice: 運用のポイント

• 新規導入時: アカウント管理が不要な「アプリケーション専用」の利用形態であれば、最初から無効に設定することを推奨します。
• 既存環境への影響: 既存のインスタンスには影響しないため、急な設定変更の必要はありませんが、将来的にアカウント管理が必要になった場合は、後から API やコンソールから有効化できます。

Next Action: まず確認すべきこと

IAM Identity Center のインスタンス設定を確認し、現在の運用モデル（アカウント管理が必要か、アプリケーション管理のみか）に合わせて、最適な初期設定が構成されているか検討してください。

Reference: AWS IAM Identity Center User Guide (Configure instance settings) https://aws.amazon.com/about-aws/whats-new/2026/08/aws-identity-center-accounts-optional/