https://blog.igeight.net/tags/sso/Recent content in Sso on igeight blogHugojaSun, 25 Oct 2026 00:00:00 +0900https://blog.igeight.net/posts/2026-10-25-aws-iam-identity-center-sso/Sun, 25 Oct 2026 00:00:00 +0900https://blog.igeight.net/posts/2026-10-25-aws-iam-identity-center-sso/<p>AWS を複数のアカウントで運用していると、アカウントごとに IAM ユーザーとアクセスキーを作って <code>~/.aws/credentials</code> に貼る、という運用になりがちです。 <strong>IAM Identity Center</strong>(旧名 <strong>AWS SSO</strong>)を使うと、アクセスキーを持たずに、ブラウザでログインするだけで複数アカウントの一時的な認証情報を取得できます。</p> <p>この記事では、<code>~/.aws/config</code> に SSO の設定がある環境を例に、次の順で整理します。</p> <ol> <li>IAM Identity Center の登場人物と全体像</li> <li>権限セットとアカウント割り当ての関係</li> <li><code>aws sso login</code> の裏側(ログインの流れ)</li> <li><code>~/.aws/config</code> の読み方</li> <li>日々の使い方</li> <li>トークンの有効期限と、つまずきやすい点</li> </ol> <blockquote> <p>旧名の名残で、CLI のコマンドや設定項目は今でも <code>sso</code> という名前です(<code>aws sso login</code>、<code>sso_start_url</code> など)。 コマンドの出力例は説明用です。アカウント ID・ユーザー名・ハッシュ値は実際の値とは異なります。</p> </blockquote> <h2 id="iam-identity-center-とは">IAM Identity Center とは</h2> <p><strong>複数の AWS アカウントへのサインインを、1 か所で管理する仕組み</strong>です。 「誰が」「どのアカウントで」「何ができるか」を Identity Center に登録しておくと、ユーザーはそこにサインインするだけで、許可されたアカウントとロールを選べます。</p> <p>IAM ユーザー方式との違いは次のとおりです。</p> <table> <thead> <tr> <th>項目</th> <th>IAM ユーザー + アクセスキー</th> <th>IAM Identity Center</th> </tr> </thead> <tbody> <tr> <td>認証情報</td> <td>長期のアクセスキー(失効させない限り有効)</td> <td><strong>一時的な認証情報</strong>(1〜12 時間で失効)</td> </tr> <tr> <td>ユーザーの管理場所</td> <td>アカウントごとに IAM ユーザーを作る</td> <td>Identity Center で 1 回だけ作る</td> </tr> <tr> <td>MFA</td> <td>アカウントごとに設定</td> <td>サインイン時に 1 回</td> </tr> <tr> <td>退職・異動時</td> <td>全アカウントで削除する</td> <td>Identity Center で無効化すれば全アカウントに効く</td> </tr> <tr> <td>キーの漏えいリスク</td> <td>ファイルに平文で残る</td> <td>残るのは期限付きのトークンだけ</td> </tr> </tbody> </table> <h2 id="登場人物">登場人物</h2> <p>まず用語を押さえます。</p>