AWS IAM Identity Center thêm optimistic locking: chặn automation ghi đè user, group

Bài viết này do AI tạo ra dựa trên thông báo chính thức AWS ngày 19/10/2026.

Tóm tắt nhanh

AWS IAM Identity Center thêm optimistic locking cho user và group trong Identity Store.
Mỗi user/group có trường Revision, thay đổi khi thuộc tính đối tượng đổi.
UpdateUser, UpdateGroup, DeleteUser, DeleteGroup chỉ thành công khi Revision gửi lên khớp bản hiện tại.
Nếu lệch, API trả ConflictException; workflow cần đọc lại rồi quyết định retry.

Vấn đề được xử lý

Khi admin, SCIM provisioning, Active Directory sync và automation cùng sửa một danh tính, một lần ghi cũ có thể vô tình ghi đè thay đổi mới. Optimistic locking biến xung đột âm thầm thành lỗi có thể quan sát: client phải chứng minh đang cập nhật đúng phiên bản đối tượng đã đọc.

Cách dùng Revision

Create, describe, update và list trả Revision hiện thời. Automation lưu Revision lúc đọc, truyền nó vào lệnh update hoặc delete sau đó. AWS chỉ thực hiện ghi khi Revision vẫn trùng; nếu có thay đổi xen giữa, nhận ConflictException, đọc lại state rồi hợp nhất hoặc retry theo policy.

Phạm vi và giới hạn

Revision là tùy chọn; integration cũ không gửi Revision giữ hành vi cũ.
Hỗ trợ ở Identity Store API, không phải SCIM endpoint.
Thao tác group membership không nhận Revision; thêm/xóa thành viên cũng không làm đổi Revision của user hoặc group.
Có ở mọi AWS Region hỗ trợ IAM Identity Center, không thu thêm phí.

Checklist cho đội IAM

Bật Revision cho automation sửa user/group có rủi ro ghi đè.
Phân loại ConflictException riêng với lỗi quyền hoặc lỗi mạng.
Không retry mù: đọc state mới, kiểm tra thay đổi nào được phép ghi đè.
Đặt telemetry cho tần suất conflict để tìm workflow cạnh tranh.

Phân tích

Tính năng này không thay thế kiểm soát quyền IAM hay quy trình joiner-mover-leaver. Nó đóng lỗ hổng độ tin cậy ở tầng API: automation có thể phát hiện state đã cũ trước khi phá thay đổi của workflow khác. Giá trị cao nhất ở tổ chức có SCIM, AD sync và IaC/API chạy song song. Hãy rollout theo từng workflow và đo ConflictException trước khi bắt buộc Revision toàn bộ.