SAA-C03 (ソリューションアーキテクト アソシエイト) の練習問題のうち 3 問で AWS IAM Identity Center が正解になります。出題はすべて第 1 分野: セキュアなアーキテクチャの設計 (3問) からです。タスク単位では「タスク 1.1 AWSリソースへのセキュアなアクセスを設計する」が 3 問と中心で、ここが AWS IAM Identity Center を学ぶうえで最優先の論点です。誤答の選択肢としては AWS Organizations、AWS Directory Service が併記されやすく、これらとの役割の違いを説明できるかどうかが正誤の分かれ目になります。
AWS IAM Identity Center の出題分野の内訳
分野別
第 1 分野: セキュアなアーキテクチャの設計
3問
タスク別（AWS 公式 Exam Guide のタスクステートメント）
タスク 1.1 AWSリソースへのセキュアなアクセスを設計する
3問
AWS IAM Identity Center の例題 3問（クリックで即採点）
選択肢をタップするとその場で正誤が分かります。ログインもページ移動も不要です。
例題 1
単一選択
難易度: 標準
外部 SAML IdP による組織全体のフェデレーション
大手保険グループが AWS Organizations で 40 を超えるメンバーアカウントを事業部門ごとの OU に分けて管理しています。同社の従業員 ID はサードパーティ製の SAML 2.0 対応 ID プロバイダーで一元管理されており、この既存 IdP をそのまま利用して、すべての AWS アカウントに対する従業員の認証とアクセス許可を一箇所から管理したいと考えています。今後もアカウント数は増える見込みで、アカウントごとに個別設定を積み上げる運用は避けたいという方針です。この要件を実現する最適な方法はどれでしょうか。
解説を読む（正解: C）
AWS IAM Identity Center は、AWS Organizations で構成された組織全体に対して、従業員向けのシングルサインオンとアクセス許可管理を提供するサービスです。外部の SAML 2.0 対応 ID プロバイダーを ID ソースとして接続し、許可セットを定義することで「どのユーザーグループが、どのアカウントで、どの権限を持つか」を一箇所で管理できます。アカウントが増えても組織レベルで割り当てを追加するだけで済むため、本シナリオのように多数のアカウントへ同一の外部 IdP でフェデレーションしたいケースに最適です。各メンバーアカウントで IAM SAML ID プロバイダーを個別に作成する方法でもフェデレーション自体は成立しますが、ID プロバイダーエンティティと引き受け用ロールをアカウント数だけ作成・維持し、IdP 側の属性マッピングも個別に管理する必要があるため、一元管理という要件を満たせず運用負荷も増大します。AWS Organizations 自体は請求の統合、OU による階層管理、サービスコントロールポリシーによるガードレールの適用を担うサービスであり、SAML フェデレーションを直接構成する機能は持ちません。Amazon Cognito は自社が開発するアプリケーションのエンドユーザー向け認証基盤であり、社内従業員による AWS アカウントへのアクセス管理を目的とした仕組みではないため不適切です。
全国に営業拠点を持つ建材商社が、AWS 環境と本社インフラの統合を進めています。約 2,300 名の従業員はオンプレミスの Microsoft Active Directory で認証され、社内アプリケーションを利用しています。本社と AWS の間には AWS Direct Connect 接続がすでに敷設済みです。ソリューションアーキテクトとして、従業員が既存の Active Directory の資格情報のまま AWS マネジメントコンソールにサインインできるようにし、あわせて複数のサードパーティ SaaS アプリケーションへのシングルサインオンも実現するよう求められました。適切なソリューションの組み合わせを 2 つ選択してください。
複数選択問題です (正解 2 つ)。選んでから判定してください。
解説を読む（正解: C、D）
AWS IAM Identity Center は AWS Organizations 配下の複数アカウントに対する一元的なシングルサインオンを提供するサービスです。ID ソースとして IAM Identity Center 内蔵のディレクトリのほか、AWS Managed Microsoft AD や AD Connector 経由の Active Directory、外部 IdP を選択でき、ユーザーは既存の資格情報のままアクセスポータルから AWS マネジメントコンソールへサインインできます。さらに SAML 2.0 に対応したサードパーティ SaaS アプリケーションをアプリケーションとして登録すれば、同じ資格情報でシングルサインオンできるため、選択肢 C が要件を満たします。加えて、オンプレミスの Active Directory を ID ソースとして活用するには、AWS Managed Microsoft AD を構築してオンプレミスドメインとの間に信頼関係を構成する方法が一般的であり、Direct Connect 経由の安定した接続とも組み合わせられるため、選択肢 D も正解です。選択肢 A は誤りです。SAML 2.0 フェデレーション自体は IAM の ID プロバイダー機能で実現するものであり、AWS Organizations が提供する機能ではありません。選択肢 B も誤りで、AWS Organizations に Active Directory フェデレーションという機能は存在しません。選択肢 E も誤りです。Direct Connect は物理的なネットワーク接続を提供するだけで、ディレクトリ間の資格情報の複製や信頼関係の確立を行うものではなく、既に接続が存在する本シナリオで回線を追加しても認証統合は実現しません。
AWS IAM Identity Center は、外部のIDプロバイダー (IdP) や内蔵ディレクトリのIDを、AWS Organizations 配下の複数アカウントへ一括で結び付けるフェデレーションサービスです。ユーザーは既存の企業IDでサインインし、割り当てられた権限セット (各アカウントに自動的に作成されるIAMロールとして具現化されます) を選択して、一時的な認証情報でマネジメントコンソールやCLIを利用します。恒久的なアクセスキーが不要になり、退職時はIdP側でIDを無効化するだけで全アカウントのアクセスが同時に断たれるため、棚卸しコストが大きく下がります。本シナリオは「既存の Entra ID をそのまま使う」「3アカウント分のIAMユーザー管理をやめる」「職務別の権限を割り当てる」という要件なので、Aが最適です。BはIAMユーザーと長期アクセスキーの管理を続ける案で、SCPを併用しても入退社ごとに3アカウント分の作業が残り、キーの削除漏れリスクも解消しません。Cのスイッチロール方式は技術的には動作しますが、IAMユーザーの作成・パスワード・MFA・キーローテーションを自前で維持する必要があり、既存の企業IDとの連携も得られないため運用負荷は下がりません。Dの Simple AD はAWS内に新しいディレクトリを作るもので、Entra ID のIDを二重に管理することになり、一元管理という要件に逆行します。