AWS IAM Identity Center agora preserva usuários e grupos ao migrar do Active Directory para outro IdP

A AWS mudou uma regra que assustava muita equipe de identidade. Até aqui, trocar o identity source do IAM Identity Center saindo do Active Directory apagava usuários, grupos, associações e atribuições no momento do cutover. Agora esses dados ficam. O Identity Center mantém o mesmo identity store, os mesmos user IDs e group IDs, e o SCIM atualiza só o externalId para refletir a nova fonte. Isso já valia para a troca entre IdP externo e o diretório do Identity Center. A exceção continua: migrar para o Active Directory ainda remove tudo, então backup e restauração seguem obrigatórios nesse sentido.

Preservar dados não tira o risco. A mudança vale para a instância inteira de uma vez. Quando você confirma, a sincronização e a autenticação do AD param, e ninguém entra até o SAML funcionar no novo IdP. O guia lista bloqueios clássicos: o userName no IdP precisa bater exatamente com o do Identity Center, o NameID deve mapear para o mesmo valor, todo usuário precisa de username, nome, sobrenome e display name (sem isso o provisionamento falha em silêncio), e renomear grupo pode fazê-lo ser tratado como novo e deixar atribuições órfãs. Grupos aninhados também pedem atenção, porque dependendo do IdP quem pertence só via grupo filho perde acesso. Por isso o runbook (com Okta como exemplo de SAML 2.0) prevê backup, validação de drift, ensaio geral e um acesso break-glass independente do Identity Center.

Para empresas presas a um AD legado, o custo de sair caiu bastante. O risco de perder atribuições de contas e aplicações no cutover diminui, mas o ensaio em ambiente de teste continua sendo a defesa principal contra lockout de toda a organização.