AWS IAM Identity Center の Identity Store に対するネットワークアクセス制御機能のサポートを開始

AWS IAM Identity Center は、ユーザーおよびグループ情報を管理する Identity Store に対して、ネットワークアクセス制御（Network Access Controls）を導入しました。これにより、Identity Store API および SCIM API へのアクセスを、リクエストの送信元ネットワークに基づいて制限することが可能です。Identity Store API は、特定の VPC エンドポイント、特定のソース VPC、または特定の IP 範囲からのアクセスをのみ許可するように制限できます。SCIM API は、特定の IP 範囲からのアクセスのみを許可するように設定可能です。本機能はオプションであり、デフォルトでは無効（off）に設定されています。設定は AWS SDK または AWS CLI を介して Identity Store API を介して行います。

🛡️ ネットワーク制限による Identity Store のセキュリティ強化

これまで、Identity Store の API アクセスは、ネットワークレベルでの厳格な制限が難しく、外部 IdP との同期（SCIM API） や、カスタムアプリによる管理（Identity Store API） の管理面でセキュリティ上の懸念がありました。今回のアップデートにより、API ごとの個別設定が可能になり、「Identity Store API は VPC エンドポイント経由のみ、SCIM API は外部 IdP の IP 範囲からのみ」 という、実務で求められる柔軟な構成が実現可能になります。

📍 日本国内リージョンの利用状況

リサーチ結果に基づくと、東京（ap-northeast-1）および大阪（ap-northeast-3）の両リージョンで、IAM Identity Center が提供されており、本機能も IAM Identity Center が提供されているすべてのリージョンで利用可能です。したがって、日本国内の AWS 環境においても、即座に導入検討が可能です。

💡 運用上のアドバイス

1. 段階的な導入: デフォルトでは無効であるため、設定ミスによるアクセス拒否が発生するリスクを管理するため、まずは既存のワークフローが使用している IP 範囲や VPC エンドポイントをホワイトリスト化する準備を整えてください。
2. AWS サービスの例外: AWS サービスがユーザーに代って行うリクエストは、この制御の対象外（exempt）となるため、AWS 側の管理機能への影響は最小限に抑えられます。
3. 設定方法の注意: マネジメントコンソールではなくもの、AWS SDK や AWS CLI を介して Identity Store API を介して構成する必要があります。設定変更時には、必ず事前にテスト環境での検証を推奨します。

🚀 次のアクション

現在のユーザープロビジョニングフローや外部 IdP との同期設定を確認し、許可すべき IP 範囲や VPC エンドポイントを特定することから始めてください。

参照資料:

• AWS IAM Identity Center 製品詳細ページ
• Identity Store API Reference (https://://docs.aws.amazon.com/singlesignon/latest/IdentityStoreAPIReference/API_UpdateIdentityStore.html)