AWS IAM Identity Center: Active Directory から外部 IdP への移行をシームレスに実現する新機能

AWS IAM Identity Center において、アイデンティティソースを Active Directory から Okta や Microsoft Entra ID などの外部 IdP、または Identity Center 独自のディレクトリへ変更する際、既存のユーザー、グループ、グループメンバーシップ、権限セット（Permission Set）の割り当て、およびアプリケーションへの割り当てを保持できる機能が導入されました。これにより、アイデンティティストアが維持されるため、ユーザーやグループの固有 ID（User ID, Group ID, Identity Store ID）が変更されず、既存の IAM ポリシーが引き続き機能します。

🛠️ 移行作業の劇的な簡素化

これまで、Active Directory から外部 IdP（Okta や Entra ID など）へ移行する場合、IAM Identity Center 上でユーザーやグループ、各種割り当てをすべて手動で再作成する必要がありました。これは設定ミスのリスクが高く、大規模な環境では膨大な工数が必要となる、非常に重い作業でした。

今回のアップデートにより、アイデンティティストアが維持されるため、「ID の不一致によるアクセス権喪失」という最大の懸念が解消されました。移行後も既存の ID をそのまま利用できるため、運用負荷が大幅に軽減されます。

📍 日本国内リージョンの利用状況

最新の AWS 公式情報を確認したところ、東京リージョン (ap-northeast-1) および 大阪リージョン (ap-northeast-3) の両方で、本機能および IAM Identity Center 自体の利用が可能です。

💡 運用上のアドバイス

• 移行プロセス: 新しいアイデンティティソースを設定した後、ユーザーは「デュアルスタック（dual-stack）AWS アクセスポートル URL」を通じてサインインすることになります。この URL の動作確認を事前に行うことが推奨されます。
• コスト: IAM Identity Center は追加費用なしで提供されます。
• セキュリティ: ID の不一致が起きないため、ポリシー管理の整合性が保たれます。

🚀 次のアクション

移行を検討しているプロジェクトがある場合は、まず IAM Identity Center コンソールから現在の設定を確認し、管理対象のユーザーやグループの数、および既存の権限セットの割り当て状況を把握することから始めましょう。

参照元: IAM Identity Center ユーザーガイド「Change your identity source」 https://docs.aws.amazon.com/singlesignon/latest/userguide/manage-your-identity-source-change.html