AWS הרחיבה את Trusted Identity Propagation ב‑IAM Identity Center כך שזהות המשתמש יכולה לעבור עם הבקשה גם בין אזורי ענן שונים. השינוי, שהוכרז ב־26 באוקטובר 2026, מאפשר לשירותים באזור אחד לקבל הקשר זהות שמקורו באזור אחר, להחיל הרשאות לפי המשתמש והקבוצות שלו ולשמור רישום ביקורת פרטני.
מה השתנה ב‑IAM Identity Center
Trusted Identity Propagation נועד לשמור את זהות האדם לאורך שרשרת השירותים. במקום שכל רכיב יקבל תפקיד IAM רחב ומשותף, הבקשה נושאת את הקשר המשתמש ואת שיוכי הקבוצות שלו. כך שירות היעד יכול לקבל החלטת הרשאה על סמך האדם שביצע את הפעולה, ולא רק על סמך זהות טכנית כללית.
עד כה, השירותים שהשתתפו בתהליך נדרשו להימצא באותו AWS Region. בארכיטקטורות רב־אזוריות זו הייתה מגבלה משמעותית: ארגונים נאלצו לרכז שירותים באזור אחד או להשתמש בתפקידי IAM רחבים שאינם מבדילים היטב בין משתמשים.
התמיכה החדשה מאפשרת להקשר הזהות לעבור אוטומטית בין אזורים. לפי AWS, אפשר להמשיך להעניק הרשאות על פי המשתמש והקבוצות שאליהן הוא משתייך, ובמקביל לרשום מי ניגש לאיזה משאב גם כאשר שכבת העיבוד והנתונים נמצאות באזורים שונים.
למה ארגונים צריכים את זה
ארכיטקטורה רב־אזורית אינה מיועדת רק להתאוששות מאסון. לעיתים שכבת המחשוב נמצאת באזור שבו קיימת קיבולת זמינה, הנתונים נשמרים באזור אחר מטעמי ריבונות, ושירותי האנליטיקה מפוזרים לפי צורכי ביצועים. כאשר הזהות נקטעת במעבר בין אזורים, קשה לשמור על עקרון ההרשאה המזערית ועל עקיבות מלאה.
היכולת החדשה מסייעת במיוחד בתרחישים שבהם משתמשים אנושיים ניגשים לנתונים דרך שכבת יישום או כלי אנליטי. במקום שהמערכת תציג לשירות היעד זהות משותפת לכל המשתמשים, היא יכולה לשמר את הזהות המקורית וליישם הרשאות מדויקות יותר.
מה צריך לבדוק לפני שמפעילים
- מיפוי מסלול הבקשה: לזהות את כל השירותים והאזורים שביניהם עוברת הזהות ולוודא שכל רכיב תומך ב‑Trusted Identity Propagation.
- מדיניות הרשאות: לבחון מחדש תפקידי IAM רחבים שנוצרו בגלל המגבלה הקודמת ולהחליפם בהדרגה בהרשאות מבוססות משתמש וקבוצה.
- לוגים וביקורת: לוודא שבמערכות הניטור ניתן לקשר בין זהות המשתמש, האזור המקורי, השירות המתווך והמשאב שאליו בוצעה הגישה.
- ריבונות נתונים: העברת הקשר זהות אינה בהכרח העברת נתונים, אך יש לתעד אילו פרטי זהות חוצים גבולות אזוריים ומה דורשת מדיניות הארגון.
- בדיקות כשל: לבדוק מה קורה כאשר אזור, ספק זהות או שירות מתווך אינו זמין, ולהימנע ממנגנון נפילה שמרחיב הרשאות ללא בקרה.
עלות וזמינות
AWS מציינת שהתכונה זמינה ללא תשלום נוסף בכל האזורים שבהם IAM Identity Center זמין. עם זאת, ארגון עדיין צריך להביא בחשבון עלויות של השירותים המשתתפים, תעבורה בין אזורים ורישום נתונים.
העדכון אינו מבטל את הצורך בתכנון זהויות מסודר. הוא כן מאפשר להתאים את מודל הזהות לארכיטקטורת ענן מודרנית, במקום לאלץ את הארכיטקטורה להתכנס לאזור יחיד רק כדי לשמר הקשר הרשאות. מומלץ להתחיל בזרם עבודה מצומצם, לבדוק את הלוגים מקצה לקצה ורק לאחר מכן להרחיב את השימוש.
מקור: הודעת AWS הרשמית, 26.10.2026.
קרדיט תמונה: panumas nikhomkhai / Pexels. רישיון Pexels מאפשר שימוש באתר, בפרסום וברשתות חברתיות.
