AWS kündigte am 5. November 2026 den Account Access Manager (AAM) an. Der Dienst weist bestehende IAM-Rollen in einzelnen AWS-Konten zentral Nutzern und Gruppen aus IAM Identity Center zu. AWS zufolge lässt sich AAM allein oder neben den Berechtigungssätzen von IAM Identity Center verwenden. Für Organisationen, die ihre vorhandenen Rollen weiterverwenden und zentral zuweisen wollen, verbindet der Dienst so kontoübergreifende Verwaltung mit den bestehenden Rollen. AWS gibt an, dass AAM keine zusätzlichen Kosten verursacht und in kommerziellen AWS-Regionen standardmäßig aktiviert ist. Ausgenommen sind Opt-in-Regionen, GovCloud (US), China und andere nicht kommerzielle Regionen. AWS’ Ankündigung
Für eine zentrale Zuweisung müssen die vorhandenen Rollen AAM vertrauen dürfen. Die Vertrauensrichtlinie ist deshalb ein entscheidender Einrichtungsschritt.
Wie eine AAM-Zuweisung funktioniert
Eine Zuweisung, in AWS’ Terminologie ein Entitlement, verknüpft eine Person oder Gruppe aus IAM Identity Center mit einem AWS-Konto und dem ARN einer IAM-Rolle. Ein ARN ist die eindeutige Kennung einer AWS-Ressource. Die Berechtigungen kommen dabei aus der zugewiesenen Rolle; AAM dient dazu, diese Zuordnung zentral zu verwalten.
AWS unterstützt Zuweisungen über die Konsole, die API und die CLI. Wer dieselbe Rolle mehreren einzelnen Nutzern zuweisen möchte, muss die Zuweisungen einzeln anlegen oder den Vorgang per API, SDK oder CLI automatisieren. Alternativ können Administratoren eine Gruppe zuweisen. Die Konsole findet IAM-Rollen nicht automatisch kontoübergreifend; Administratoren müssen den Rollennamen kennen. Eine Rolle ist nur geeignet, wenn ihre Vertrauensrichtlinie AAM erlaubt.
Was vor der Einrichtung nötig ist
Zunächst braucht die Organisation eine Organisationsinstanz von IAM Identity Center mit den betreffenden Nutzern oder Gruppen. AAM wird anschließend über das Verwaltungskonto der Organisation aktiviert. Danach müssen die vorgesehenen IAM-Rollen AAM in ihrer Vertrauensrichtlinie zulassen. AWS nennt dafür den Service Principal account-access.amazonaws.com; das AWS-Beispiel beschränkt den Zugriff zusätzlich auf das Quellkonto und die ARN der AAM-Anwendung.
Wer Rollen-Tags oder über SAML übermittelte Sitzungstags für attributbasierte Zugriffskontrolle nutzt, muss außerdem den jeweiligen Anwendungsfall berücksichtigen: sts:TagSession ist erforderlich, wenn nachgelagerte Richtlinien diese Principal-Tags auswerten. Ohne diese Berechtigung kann die Rollenübernahme weiterhin gelingen, die Sitzungstags werden dann aber nicht weitergegeben.
Organisationen, die AWS-Endpunkte über eine Firewall oder ein sicheres Webgateway filtern, müssen die AAM-Endpunkte für Portal, API, Laufzeit und Konsole freigeben. AWS gibt an, dass diese Endpunkte Dual-Stack unterstützen und es keine reinen IPv4-Endpunkte gibt. Bei einer kundenseitig verwalteten KMS-Schlüsselrichtlinie empfiehlt AWS außerdem, deren Einstellungen vor der Aktivierung zu prüfen, insbesondere wenn die IAM-Identity-Center-Instanz in weitere Regionen repliziert wird.
Der offizielle AWS-Rundgang zeigt die Aktivierung, die Anpassung einer Rollen-Vertrauensrichtlinie sowie das Anlegen von Nutzer- und Gruppenzuweisungen.
So greifen Nutzer auf ihre Rollen zu
Nutzer können zugewiesene Rollen über das AAM-Portal oder im Zugriffsportal von IAM Identity Center unter „Applications“ aufrufen. Für den beschriebenen CLI-Zugriff verwendet AWS aws login; erforderlich ist AWS CLI ab Version 2.36.0. Befehle von IAM Identity Center wie aws sso configure funktionieren laut AWS nicht mit AAM-Zuweisungen. Die Sitzungsdauer richtet sich nach dem für die jeweilige IAM-Rolle festgelegten Höchstwert und kann bis zu zwölf Stunden betragen.
Frühere AAM-Daten und Lumos’ Integration
Amazon Web Services veröffentlichte seinen AAM-Rundgang am 17. August 2026. In der AWS-Ankündigung ist für eine einzelne AAM-Instanz der 23. September 2026 als Aktivierungsdatum zu sehen. Lumos veröffentlichte am 14. Oktober einen Beitrag zu seiner Integration; AWS kündigte AAM am 5. November an. Diese Angaben betreffen jeweils ein Video, eine einzelne Instanz, einen Lumos-Beitrag und die AWS-Ankündigung.
Lumos erklärte in seinem Beitrag, seine Plattform lese AAM-Zuweisungen für menschliche und maschinelle Identitäten in einen Identitätsgraphen ein und markiere dabei erkannte Probleme zur Prüfung. Die Bereitstellung von Zugängen über AAM sowie die Unterstützung weiterer Identitätsanbieter neben Microsoft Entra ID beschrieb Lumos damals als geplante Funktionen. Lumos’ Beitrag zur AAM-Integration
