Le 5 novembre 2026, AWS a annoncé Account Access Manager (AAM), un service qui attribue des rôles IAM existants à des utilisateurs et groupes d’AWS IAM Identity Center. Chaque attribution relie une identité, un compte AWS et un rôle ; AWS indique que l’outil peut fonctionner seul ou avec les permission sets d’Identity Center. L’annonce d’AWS précise aussi les prérequis d’administration et les modes d’accès.
AWS indique qu’AAM n’entraîne pas de frais supplémentaires et qu’il est activé par défaut dans les régions commerciales, sauf dans les régions commerciales opt-in, GovCloud (US), la Chine et les autres régions non commerciales.
Pour centraliser les attributions, il faut tout de même préparer chaque rôle : sa politique de confiance doit autoriser Account Access Manager.
Une attribution relie une identité, un compte et un rôle
Une attribution AAM associe l’identifiant d’un utilisateur ou d’un groupe d’IAM Identity Center, l’identifiant d’un compte AWS et l’ARN d’un rôle IAM existant. L’administrateur centralise ainsi l’attribution de rôles propres aux comptes, tandis que l’organisation peut continuer à utiliser les permission sets d’Identity Center, seuls ou en parallèle avec AAM, selon AWS.
La console permet de créer des attributions pour un utilisateur ou un groupe. Pour affecter le même rôle à plusieurs utilisateurs, il faut créer les attributions séparément, sauf si l’opération est automatisée avec l’API, un SDK ou la CLI. AAM ne recherche pas les rôles IAM à travers les comptes : les administrateurs doivent connaître leur nom, et seuls les rôles dont la politique de confiance autorise AAM peuvent être attribués.
Préparer l’organisation et les rôles
La configuration commence par une instance organisationnelle d’IAM Identity Center et les utilisateurs ou groupes concernés. L’administrateur active ensuite AAM depuis le compte de gestion de l’organisation. Chaque rôle choisi doit autoriser le principal de service account-access.amazonaws.com dans sa politique de confiance. L’exemple d’AWS ajoute des conditions sur le compte source et l’ARN de l’application AAM.
Si des politiques en aval utilisent des balises de session issues des revendications SAML du fournisseur d’identité, AWS indique qu’il faut aussi autoriser sts:TagSession. Sans cette autorisation, l’assomption du rôle peut réussir, mais la propagation de ces balises est supprimée.
Les organisations qui filtrent les points de terminaison AWS par pare-feu ou passerelle web sécurisée doivent autoriser ceux d’AAM. AWS précise que ces points de terminaison sont à double pile et qu’il n’existe pas de point de terminaison IPv4 uniquement. Avant l’activation, AWS recommande également de vérifier la politique de la clé KMS gérée par le client, notamment si l’instance Identity Center est répliquée dans d’autres régions.
Le tutoriel officiel d’AWS, publié en anglais le 17 août 2026, montre l’activation d’AAM, la modification d’une politique de confiance, la création d’attributions pour des utilisateurs et des groupes, puis la connexion aux portails.
Accéder aux rôles depuis un portail ou la CLI
Les utilisateurs peuvent ouvrir leurs rôles attribués depuis le portail AAM ou depuis l’onglet Applications du portail d’accès IAM Identity Center. Pour le parcours en ligne de commande décrit par AWS, il faut AWS CLI 2.36.0 ou une version ultérieure et la commande aws login. Les commandes IAM Identity Center telles que aws sso configure ne fonctionnent pas avec les attributions AAM.
La durée d’une session dépend du maximum configuré sur le rôle IAM sous-jacent et peut atteindre 12 heures. Les liens raccourcis, lorsqu’ils sont utilisés, ouvrent uniquement des comptes et rôles déjà attribués ; ils ne créent pas de nouvel accès.
Les dates et l’intégration de Lumos
AWS a publié un tutoriel consacré à AAM le 17 août 2026. Une capture de console AWS affiche une instance dont la date d’activation est le 23 septembre. Le 14 octobre, Lumos a indiqué que sa plateforme lisait les attributions AAM dans son graphe d’identité, pour les identités humaines et machines, et signalait des problèmes à examiner. Dans ce même billet, l’approvisionnement via AAM et la prise en charge de fournisseurs d’identité au-delà de Microsoft Entra ID figuraient parmi les projets futurs de Lumos. AWS a publié son annonce le 5 novembre 2026.
