AWS kondigde op 5 november 2026 AWS Account Access Manager (AAM) aan. De dienst koppelt bestaande IAM-rollen in afzonderlijke AWS-accounts aan gebruikers en groepen in een organisatie-instantie van IAM Identity Center. AWS zegt dat AAM naast permission sets kan worden gebruikt en geen extra kosten met zich meebrengt. AWS’ aankondiging
Controleer eerst of de trust policy van een bestaande rol AAM toegang geeft. Een centrale toewijzing werkt alleen met een rol die daarvoor geschikt is.
Wat AAM centraal toewijst
Een entitlement is een toewijzing die drie onderdelen aan elkaar koppelt: een gebruiker of groep in IAM Identity Center, een AWS-account en de ARN van een bestaande IAM-rol. AAM maakt de toewijzing centraal, terwijl de rol per account blijft bestaan. AWS zegt dat organisaties AAM zelfstandig of naast permission sets kunnen gebruiken. Permission sets bieden een meer uniforme, centraal ingerichte toegang; AAM is bedoeld voor situaties waarin teams bestaande rollen met verschillende configuraties willen blijven gebruiken.
De console ondersteunt toewijzingen aan groepen. Wie dezelfde rol aan meerdere afzonderlijke gebruikers wil toewijzen, moet dat per gebruiker doen, tenzij die taak via de API, SDK of CLI wordt geautomatiseerd. De console kan gebruikers, groepen en accounts doorzoeken, maar vindt IAM-rollen in accounts niet automatisch. Beheerders moeten dus de rolnamen kennen.
Wat beheerders vooraf moeten inrichten
AAM vereist een organisatie-instantie van IAM Identity Center met de gebruikers of groepen die toegang nodig hebben. Daarna schakelt een beheerder de dienst in vanuit het managementaccount van de organisatie. Elke rol die wordt toegewezen, moet in de trust policy de service-principal account-access.amazonaws.com vertrouwen. AWS’ voorbeeld voegt voorwaarden toe voor het bronaccount en de ARN van de AAM-applicatie.
Als downstreambeleid sessietags uit SAML-claims gebruikt, moet de rol ook sts:TagSession toestaan. Zonder die toestemming kan het aannemen van de rol nog slagen, maar worden de sessietags niet doorgegeven. Organisaties die AWS-eindpunten via een firewall of beveiligde webgateway filteren, moeten de AAM-eindpunten voor portal, API, runtime en console toestaan. AWS vermeldt dat deze eindpunten dual-stack zijn en geen IPv4-only-eindpunten hebben. Bij een door de klant beheerde KMS-sleutel raadt AWS aan het sleutelbeleid te controleren, vooral wanneer IAM Identity Center naar extra regio’s is gerepliceerd.
Hoe gebruikers toegewezen rollen bereiken
Gebruikers kunnen een toegewezen account en rol openen via het AAM-portaal of via het toegangsportaal van IAM Identity Center, onder het tabblad Applications. Voor de beschreven CLI-route gebruikt AAM aws login; AWS vereist daarvoor AWS CLI versie 2.36.0 of hoger. Op AAM-toewijzingen werken IAM Identity Center-opdrachten zoals aws sso configure niet. De sessieduur volgt de ingestelde maximumduur van de onderliggende IAM-rol, tot maximaal 12 uur.
AWS zegt dat AAM geen extra kosten heeft en standaard is ingeschakeld in commerciële AWS-regio’s, met uitzondering van opt-in commerciële regio’s. GovCloud (US), China en andere niet-commerciële regio’s vallen buiten de genoemde commerciële dekking.
Eerdere AAM-vermeldingen en de integratie van Lumos
AWS publiceerde op 17 augustus 2026 een Engelstalige walkthrough van AAM. De AWS-console vermeldt voor één AAM-instantie 23 september 2026 als inschakeldatum. Op 14 oktober meldde Lumos dat zijn platform AAM-toewijzingen in een identiteitsgrafiek voor menselijke en machine-identiteiten uitleest en problemen voor beoordeling signaleert. Lumos beschreef provisioning via AAM en ondersteuning voor identityproviders naast Microsoft Entra ID in dat bericht als plannen voor later. (Lumos’ bericht over de integratie)
