AWS IAM Identity Center の Identity Store 変更通知が Amazon EventBridge 経由で利用可能に

AWS IAM Identity Center の Identity Store において、ユーザー、グループ、グループメンバーシップ、および Identity Store 自体の作成、更新、削除といったライフサイクルイベントが発生した際、Amazon EventBridge 経由でリアルタイムに通知を受け取ることが可能になりました。この機能により、アイデンティティの変更を検知して、AWS Lambda や SIEM への通知、ダウンストリームアプリケーションへのアクセス権更新などの自動ワークフローを業務プロセスに組み込むことができます。追加料金は発生せず、標準的な Amazon EventBridge の利用料金のみが適用されます。

🛠️ アイデンティティ管理の自動化が大幅に強化されました

今回のアップデートは、**アイデンティティのライフサイクル管理（オンボーディング・オフボーディング）**において、非常に実用的な機能です。これまでは、定期的な監査や手動での確認が必要だった「誰がいつグループに追加されたか」といった変更を、イベント駆動型で即座に検知できるようになったのは大きな進歩です。

🔍 解決される課題とメリット

• セキュリティリスクの低減: 退職者や異動者の権限削除が遅れることによる「権限の残留」を防ぐため、Lambda を起動して即座に外部システムへ通知したり、監査ログを記録したりすることが容易になります。
• 運用の自動化: 大規模な組織において、グループメンバーシップの変更をトリガーに、ダウンストリームのアプリケーションへのアクセス権を自動同期させるワークフローが構築可能です。

🇯🇵 日本リージョンの状況

最新のリージョン状況を確認したところ、東京 (ap-northeast-1) および大阪 (ap-northeast-3) の両リージョンで利用可能です。IAM Identity Center が提供されているリージョンであれば、本機能も利用可能です。

💡 実務上のアドバイス

• コスト管理: 本機能自体の追加料金はありませんが、Amazon EventBridge のイベント受信・ルール実行に伴う標準的な料金が発生します。大量のユーザー操作が発生する環境では、イベント量を見積もっておくのが良いでしょう。
• セキュリティ: EventBridge ルールでトリガーされる後続の処理（Lambda 等）の IAM ロールに、適切な権限を付与し、変更イベントを「検知」するだけでなく「正しく処理」できる設計にしてください。

🚀 次のアクション

まずは、Amazon EventBridge のイベントパターンを確認し、特定のグループへの追加イベントのみをフィルタリングして、簡単な通知（SNS 等）を飛ばすテストから始めるのがおすすめです。

参照ドキュメント:

• AWS IAM Identity Center ユーザーガイド: Event notifications
• Amazon EventBridge イベントリファレンス: Identity Store events