AWS Single Sign‑On

AWS SSO упрощает централизованное управление доступом и разрешениями пользователей для всех аккаунтов в AWS Organizations. Дополнительная настройка отдельных аккаунтов не требуется. AWS SSO автоматически настраивает и поддерживает все необходимые разрешения в связанных аккаунтах. Пользовательские разрешения можно задавать на основе общих должностных обязанностей, а затем дополнительно настраивать в соответствии с конкретными требованиями безопасности. Также вы можете выдавать пользователям или их группам особые разрешения на доступ к отдельным аккаунтам, когда это необходимо. Например, для работы со средствами защиты специалистам по безопасности можно предоставить административный уровень доступа к соответствующим аккаунтам AWS, а для наблюдения за остальными аккаунтами AWS – лишь аудиторский уровень доступа. AWS SSO обеспечивает поддержку интерфейсов API и AWS CloudFormation для автоматизации управления разрешениями в средах с несколькими аккаунтами, а также получения разрешений программными средствами в целях аудитов и управления.

Cоздавать удостоверения и группы можно непосредственно в AWS SSO. А если вы уже используете Microsoft Active Directory Domain Services, Okta Universal Directory, Azure AD или другой поддерживаемый поставщик удостоверений, ваши пользователи могут войти в AWS с помощью существующих корпоративных учетных данных, а администраторы организации – продолжать управлять пользователями и группами в текущей системе идентификации.

В AWS SSO предусмотрен единый портал, где пользователи могут найти и просмотреть все назначенные им роли в аккаунтах AWS и бизнес-приложениях. AWS SSO предлагает предварительно настроенные интеграции SAML со многими бизнес-приложениями, в том числе Salesforce, Box и Office 365. AWS отслеживает изменения таких интеграций и автоматически обновляет их для своих клиентов. С помощью мастера настройки приложений AWS SSO можно расширить доступ по технологии SSO к любому приложению, поддерживающему язык разметки декларации безопасности (Security Assertion Markup Language, SAML) 2.0.

С AWS SSO достаточно нескольких нажатий кнопки мыши, чтобы создать высокодоступный сервис единого входа в систему для организации. Развертывать или обслуживать дополнительную инфраструктуру не требуется. Все административные действия и действия, связанные со входом в систему, записываются в AWS CloudTrail, что помогает проводить аудит и обеспечивать соответствие требованиям. Можно централизованно просматривать, когда пользователи пытались получить доступ к аккаунтам и приложениям и с какого IP-адреса. Кроме того, можно просматривать, когда пользователи получили доступ к аккаунтам и приложениям, когда назначенные разрешения для аккаунта AWS изменились и когда их доступ по технологии единого входа был закрыт. AWS SSO дает возможность централизованно отслеживать все действия, связанные с единым входом в систему.