AWSでシングルサインオン（SSO）を実現する～SAML2.0ベースのAWSマネージメントコンソールへのフェデレーション

小規模な受託開発におけるAWS活用の勘所　第3回

構築方法（AWS）

　最後にフェデレーションログインをさせたいAWSアカウント側の設定を実施します。

　通常通り、AWSマネジメントコンソールにログインし、IAMダッシュボードを開いて下さい。

　実施は任意ですが、IAMユーザーのサインインリンクをカスタマイズしておくことをお勧めします。複数アカウントにログインできるユーザの場合、どのAWSアカウントにログインしようとしているかを識別する際に、ここでカスタマイズした名称が表示されます。

IAMダッシュボード

　次に、IDプロバイダーの設定を実施します。

　事前に、先程構築したIdPのhttps://sso.test.com/FederationMetadata/2007-06/FederationMetadata.xmlへアクセスし、FederationMetadata.xmlをダウンロードしておいて下さい。

　「プロバイダの追加」をクリックし、以下を設定します。

IDプロバイダ追加

• プロバイダーのタイプ：SAML
• プロバイダー名
  • カスタム規則Get AD Groupsで指定した名称と合わせる
  • ここではtest
• メタデータドキュメント：先程ダウンロードしたFederationMetadata.xml

プロバイダの設定

　「作成」をクリックしてください。

プロバイダー情報の検証

　次に、シングルサインオンでログインするユーザに割り当てるIAMロールを作成します。

　IAMロールの画面から、「ロールの作成」をクリックします。

IAMロールの作成

　信頼されたエンティティとして、「SAML2.0フェデレーション」を選択し、先程作成したプロバイダーを選択します。

ロールの作成

　ロールに付与するポリシーとして、ここでは「AdministratorAccess」を選択しています。実際は付与したいポリシーを選択して下さい。

ロールの作成（ポリシー）

　最後にロール名を入力します。ロール名はADのグループ名から、AWSアカウントID-を取り、ADFS-を先頭に追加して設定して下さい（例：ADFS-AdminstratorAccess）。

　「ロールの作成」をクリックして、完了です。

ロールの作成（確認）