AWS IAM Identity Center thêm kiểm soát network cho Identity Store

Bài viết này do AI tạo ra, có thể mắc sai sót.

AWS vừa bổ sung network access controls cho Identity Store trong IAM Identity Center. Tính năng nhắm vào các API dùng để quản lý người dùng, nhóm và đồng bộ danh tính, cho phép đội vận hành ràng buộc đường đi của request thay vì chỉ dựa vào quyền gọi API.

Tóm tắt nhanh

Khoanh vùng Identity Store API: Có thể chỉ chấp nhận request đi qua VPC endpoint được phép hoặc xuất phát từ các source VPC đã chỉ định.
Giới hạn theo IP cho hai API: Identity Store API và SCIM API đều có thể được allow theo dải IP cụ thể.
Chính sách tách theo luồng: Một cấu hình có thể buộc Identity Store API đi private qua VPC endpoint, nhưng vẫn cho SCIM từ IP công bố của nhà cung cấp IdP.
Mặc định chưa bật: Network access controls là tuỳ chọn; request do dịch vụ AWS thực hiện thay khách hàng được miễn áp dụng.
Phạm vi phát hành: AWS cho biết khả năng này có ở mọi Region đang cung cấp IAM Identity Center và cấu hình qua Identity Store API, AWS SDK hoặc AWS CLI.

Identity Store API khác SCIM API ở đâu?

Identity Store API thường được ứng dụng nội bộ và workflow provisioning dùng để quản lý hoặc tra cứu user, group. SCIM API thường phục vụ đồng bộ từ identity provider bên ngoài. Hai đường này có đặc điểm network khác nhau: workload nội bộ có thể đi private, còn IdP SaaS thường cần truy cập từ IP public đã công bố.

Khả năng đặt rule riêng cho từng API tránh tình huống chính sách quá rộng: không cần mở Identity Store API ra Internet chỉ vì SCIM cần nhận đồng bộ từ IdP.

Cấu hình theo mô hình private-first

Mô hình chặt hơn là buộc Identity Store API chỉ nhận qua VPC endpoint thuộc account hoặc organization được cho phép. Có thể kết hợp điều kiện source VPC để giới hạn thêm nơi workload được phép khởi tạo request.

Với SCIM, allowlist IP cần dựa vào dải địa chỉ chính thức của IdP. Đội vận hành phải có quy trình theo dõi thay đổi IP của IdP, nếu không đồng bộ có thể bị gián đoạn sau khi áp policy.

Điểm cần kiểm tra trước khi bật

Lập inventory tất cả ứng dụng, automation và pipeline đang gọi Identity Store API.
Xác định request nào có thể chuyển qua VPC endpoint, request nào phải đi từ IP đã allowlist.
Kiểm tra IP egress thực tế của IdP cho luồng SCIM; không dùng dải IP suy đoán.
Triển khai thử trên phạm vi nhỏ, theo dõi lỗi 403 và lỗi provisioning trước khi áp dụng rộng.
Chuẩn bị đường rollback, vì policy sai có thể chặn lookup user/group hoặc đồng bộ danh tính.

Phân tích

Thêm lớp kiểm soát network cho mặt phẳng danh tính

Quyền IAM vẫn là lớp chính, nhưng API danh tính thường là mục tiêu có giá trị cao vì liên quan user và group. Ràng buộc network tạo thêm điều kiện để request phải đến từ vị trí dự kiến, giảm vùng tấn công khi credential của automation bị lộ.

Private endpoint giúp giảm phụ thuộc Internet egress

Khi ứng dụng chạy trong VPC gọi Identity Store API qua endpoint được phép, đường truy cập có thể được bó hẹp theo kiến trúc private. Điều này hữu ích cho môi trường có yêu cầu kiểm soát egress, phân đoạn mạng hoặc audit chặt.

Không phải công tắc bật là xong

Policy network sai dễ biến thành sự cố identity: provisioning dừng, ứng dụng không tra cứu được group hoặc IdP không đẩy được thay đổi. Cần mapping đầy đủ caller, VPC endpoint, source VPC và IP IdP trước khi bật enforcement.

Vì sao đáng chú ý?

Đây là bổ sung đáng giá cho kiến trúc zero-trust trên AWS: cùng một API danh tính có thể được kiểm soát theo quyền, theo nguồn mạng và theo loại luồng. Với tổ chức dùng IAM Identity Center làm trung tâm SSO, đây là cơ hội giảm bề mặt public cho các workflow nội bộ mà vẫn giữ được SCIM federation vận hành ổn định.