Amazon Kiro 企業版安全整合：AWS IAM Identity Center 與安全管理入門(Kiro for Enterprise)
在企業導入生成式 AI 工具的過程中，身份驗證與存取控管是最關鍵的安全環節。Kiro 企業版不僅提供強大的開發與協作能力，更要求嚴謹的登入與授權機制，並確保管理員已完成 Kiro 設定的安全最佳實務。
為了降低憑證洩漏風險、簡化使用者管理並符合合規要求，Kiro 採用 AWS IAM Identity Center 作為核心整合方案，取代傳統 IAM 使用者登入方式。此設計能夠實現 單一登入（SSO）、集中式權限管理，以及與外部身分提供者（IdP）整合，讓企業在使用 AI 應用時，仍能維持最佳安全實務。
本篇文章有中英文版，英文版連結請參考：https://medium.com/@kuroH/amazon-kiro-enterprise-b39782221648
這次來聊一下：
- 為何必須使用 IAM Identity Center 而非 IAM 使用者登入
- 整合企業身份驗證流程與資安設定
因為我本身是 AWS Community Builder — Security組，有獲得一些 Credit 能來玩玩 AWS 各項服務，趁大 AI 時代來研究一下管理者的安全設定。而Kiro這個IDE安全議題網路上有不少討論了，就不在這篇多提。
我 AWS Community Builder 檔案:
什麼是 Kiro
Agentic AI development from prototype to production
Amazon Kiro CLI ?
CLI 操作是開發者很喜愛的一個工作模式，很推薦大家學習，我也做了一個中文指引網站（透過 Kiro 完成) 來與大家一同學習 Kiro CLI !
從使用者角度看它的價值
在實際使用 Kiro 的過程中，這不只是單純的 AI 工具，而是一個完整的企業級 AI 開發平台。從資安的角度考量，Kiro這個時間還沒有看到有效的資安驗證或是確信報告，但從技術上看能做到許多其他工具沒辦法完成的資安設定。
Kiro 的核心亮點有三個：
- 我叫 Kuro，打 Kiro 一直打成 Kuro。
- Vibe Coding
這是 Kiro 最吸引我的地方。它不只是提供程式碼建議，而是能理解專案上下文，協助我這段時間完成蠻多開發小工具的任務，在需要時自動生成測試與文件，讓開發過程更流暢。 - 企業級安全整合
作為資安從業者。Kiro 與 AWS IAM Identity Center 整合，提供單一登入（SSO）、群組管理與權限集，避免傳統 IAM 使用者帶來的憑證風險。同時，後台還能啟用 Prompt Logging、使用報告與存取控管，比起其他工具方便許多。CloudTrail 同樣能夠留存與監控使用者行為。 - 彈性與擴展性
無論是 IDE、CLI，還是 MCP（Model Context Protocol）整合外部工具，Kiro 都能支援，並整合基礎的安全設定。
Kiro 與 AWS 企業整合設定 (To onboard your team to Kiro)
登入 AWS 帳號
- 您可以使用 AWS Root 使用者 或具備 特權角色的使用者登入。
- 或者允許管理員以 最低必要權限使用 Kiro。
啟用 AWS IAM Identity Center
- 在您的 AWS 帳號中啟用 IAM Identity Center。
- 將使用者新增至其目錄，或連接至外部身分識別提供者（IdP）。
- 如果這是您第一次設定 IAM Identity Center，請參考官方文件：
Getting started with IAM Identity Center - Kiro 企業版需要 Identity Center 來實現安全的使用者訂閱與 SSO，避免手動管理 IAM 使用者帶來的風險（如憑證洩漏、難以管理和撤銷）。
- IAM Identity Center 提供專屬登入 URL，使用者只需企業帳號即可登入 Kiro，不必管理多組 AWS IAM 憑證。
我們先啟用 IAM Identity Center ，並建立使用者，這時候右方就有 幾個重要資訊：
- Instance name：IAM Identity Center 實例的名稱，可自訂，用於識別此 Identity Center 實例，方便管理。
- Identity source：身分來源，目前使用 AWS 內的Identity Center directory，表示使用 AWS Identity Center 內建目錄，或可選擇外部 IdP（如 Okta、Azure Entra ID ）。
- Region：Identity Center 實例部署的 AWS 區域，決定服務運行位置，影響資料主權與延遲。
- Organization ID：AWS Organizations 的唯一識別碼
接下來建立一個 User，此 user 可以登入AWS access portal
建立 Kiro Profile 並訂閱使用者
- 在 AWS 管理主控台中，進入 Kiro Console。
- 使用提供的 UI 建立 Kiro Profile 並訂閱使用者。
- Profile 的作用：將使用者身分與其 Kiro 訂閱及設定綁定。
- 記得啟用 MFA !
我們可以選擇適合的方案，頻繁使用建議 Kiro Pro+
4. 使用者確認電子郵件
- 在完成訂閱後 24 小時內，使用者將收到一封電子郵件。不過這可能以當下管理主控台狀態為準
- 下載完Kiro IDE，選擇 Sign in with AWS IAM Identity Center
- 登入記得要走 IAM Identity Center 的專屬連結，並非一般的IAM 登入
Admin Console (AWS)-Shared settings
這邊回到 AWS 上的管理者介面， 強烈建議好好評估這邊的設定是否要打開。
往下拉之後會看到 Shared settings
Include suggestions with code references
- 是否在建議中包含程式碼參考，方便開發者直接看到相關程式碼片段。
Encryption key
- 可選擇使用自訂加密金鑰（Customer-managed key），若未啟用則使用預設金鑰。此設定影響靜態資料加密安全性。
Member account subscriptions
- 顯示並管理來自成員帳號的訂閱，需啟用 Trusted Access 才能集中檢視。這會在管理帳號下統一列出管理與成員帳號的 Kiro 訂閱
- 安全考量：確保啟用 Trusted Access，避免未授權帳號存取企業資源。
Admin Console (AWS)-Kiro settings（Kiro 設定）
Model Context Protocol (MCP)
- 允許 Kiro agent 使用 MCP 與外部工具或模型交換上下文，需注意安全權限控管。
- 安全考量：僅授權必要工具、使用最小權限原則、定期審核 MCP 連線與 Token。
如果未打開，Kiro就無法使用，會顯示 MCP Usage has been disable by your organizaion
重新打開之後可以使用MCP Server
Kiro 說明 這幾個MCP作用
對MCP測試有興趣可參考 : https://estellacoding.github.io/blog/aws-kiro-build-fillup-using-specification-driven-development-mcp/#MCP-Server
Get Kuro Huang’s stories in your inbox
Join Medium for free to get updates from this writer.
Overages
- 是否允許使用者在超過月使用限制後繼續使用 Kiro。
- 安全考量：避免因無限制使用導致成本失控或資源濫用，建議搭配告警機制。
Prompt logging
- 記錄 Kiro 的 Prompt 及其 Metadata，方便稽核與追蹤，但涉及隱私與合規風險。
- 官方說明 : Kiro admins can enable the logging of all inline suggestions and chat conversations that users have in the Kiro IDE. These logs can help with auditing, debugging, analytics, and ensuring compliance.)
- 安全考量：若包含敏感資料，需搭配存取控管。建議啟用加密儲存（即使不使用 KMS，也可採用 S3 Server-Side Encryption）。
Usage activity（使用活動）
Kiro usage dashboard
- 啟用後可追蹤 Kiro 功能使用情況，提供管理者可視化報告。
- 收集使用者活動指標並每日輸出報告至 S3 Bucket，適合企業做行為分析與合規檢查。
- 安全考量：確保 S3 Bucket 啟用版本控管與加密、設定 IAM Policy，避免公開存取。
- 官方說明 : Kiro user activity report (You can configure Kiro to collect user activity telemetry of individual Kiro subscribers in your organization and present that information in a report. The report gives you insights into how specific users are using Kiro)
最佳實務總結
- 加密金鑰：建議啟用自訂 KMS 金鑰，符合企業安全規範。
- Prompt Logging：若開啟，需搭配稽核與存取控管，避免敏感資料外洩，沒有稽核至少也留下 Log 。
- MCP：啟用時必須限制外部工具權限，避免資安問題或資料外洩。
- S3 報告：確保 S3 Bucket 有正確的 IAM Policy 與加密設定。
進階建議
MCP 安全強化
- 使用 API Gateway + IAM Role 控制外部工具存取。
- 定期輪替憑證
- CloudTrail 能監控經由 AWS API 發生的活動（例如 S3、IAM、Amazon Q/Kiro 相關的 API。需注意 CloudTrail 無法直接記錄 MCP 在本機執行的非 AWS 操作，MCP 請求若呼叫 AWS 服務才會在 CloudTrail 中呈現
Prompt Logging
- 敏感資料遮罩（PII Masking）。
- 啟用加密儲存（即使不使用 KMS，也可採 S3 SSE）。
- 設定 IAM Policy 限制誰能讀取 Prompt Log。
S3 日誌報告
- 啟用 Block Public Access。
- 設定 Bucket Policy 僅允許特定 IAM Role 存取。
- 啟用版本控管，避免手殘刪除。
資源使用控管
- 搭配 CloudWatch Billing Alarm，超過預算時通知。
- 設定 Overages 限制，避免無上限使用，除非你的單位很賺錢那無所謂XD
Dashboard
如果前面設定有開啟，那Dashboard可以看到實際使用狀況
VPC Endpoint
企業可用 AWS PrivateLink 建立 Kiro 的 介面型 VPC Endpoint（如 com.amazonaws.us-east-1.q），讓 與 Kiro API 的流量不出公網；但登入/認證等部分流程仍可能走公開網路，請依官方文件為準，畢竟隨時都有可能更新
參考資料
總結
在企業導入 生成式 AI 工具、或是如 Kiro等工具 的過程中，AI 開發平台的價值不僅在於提升生產力，更在於如何確保安全與管理。Kiro 企業版透過與 AWS IAM Identity Center 的整合，解決了傳統帳號管理的風險，並提供單一登入（SSO）、群組控管與權限集，讓資安規範能夠落地執行。
同時，Kiro 的 安全設定（如 Prompt Logging、使用報告、存取控管），讓開發者在享受 AI 助力的同時，仍能維持基本的資安要求，也可以被稽核。這種「效率 + 安全」的平衡，正是企業在擴展 AI 應用時最需要的基本功。
最後請 AI (M365 Copliot) 幫我整理了一下可能的風險與對應，提供大家參考
關於 Kuro 介紹、聯絡方式、文章分享 ：
- Portaly 關於我（推薦）: https://portaly.cc/kurohuang
- 文章目錄/個人網站 : https://kuronetwork.me
- Instagram : https://www.instagram.com/kuronetwork/
- Threads : https://www.threads.net/@kuronetwork
- Facebook : https://www.facebook.com/kublackstock
- LinkedIn： https://www.linkedin.com/in/kurohuang/
Cloud Computing
- 2024.02 — AWS Certified Cloud Practitioner Certification (CCP)
- 2024.02 — AWS Certified Solutions Architect — Associate (SAA)
- 2024.03 — GCP Associate Cloud Engineer (GCP-ACE)
- CCSP 雲端資安專家自修考試心得、準備方式與教材整理（Certified Cloud Security Professional）
- 善用你的 AWS Trusted Advisor：提升雲端安全、效能與成本效益！
- 雲端網路存取控制規則檢視-官方指令彙整(Azure NSG, AWS Security Group/NACL ,GCP Firewall)
- Amazon Bedrock 試用心得 — 安全的在雲端上使用生成式 AI
- [GCP] 部署 Docker 應用至 Cloud Run 並使用 IAP 驗證登入
- 使用AWS CloudFront 的原始存取控制(OAC)建立安全的 S3 靜態網站
- AWS 架構安全評估工具 — AWS Well-Architected Tool
- 遠距辦公與資料保護-使用 AWS WorkSpaces 虛擬桌面服務
- 在 Windows 安裝WSL 執行Scirpt 以進行 AWS 資源盤點：解決 AWS SecurityAudit Policy限制
- Running Custom Scripts on Windows WSL for AWS Resource Inventory: Addressing AWS SecurityAudit Policy Restrictions
- 雲端網路存取控制規則檢視-官方指令彙整(Azure NSG, AWS Security Group/NACL ,GCP Firewall)
- GCP IAM Security — 使用 PAM 強化特權帳號管理
- 強化雲端威脅偵測與雲端資安事件回應：使用 Amazon GuardDuty 與 Detective
- 保護你的雲端資料安全：使用 Amazon Macie.
我想把各種經驗寫出來做分享教學，希望把社群的分享風氣帶出來給大家。並期望之後有人也可以寫出不同的心得文，如果是自修同學對於申請考試和準備上有任何問題，可以透過 LinkedIn 交朋友與 Facebook 來聯絡我，能力範圍內盡量幫你解決(或是你想認識我出來喝杯咖啡也歡迎，我很喜歡多認識業界的朋友們交流，也真的不少人找我聊聊過了!)。
