AWS IAM Identity Center を利用したシングルサインオン（SAML）の例¶

AWS IAM Identity Center（旧 AWS SSO）は、AWS が提供する集中型 ID 管理サービスです。シングルサインオン（SSO） を介して、複数の AWS アカウント、クラウドアプリケーション（Salesforce、GitHub など）、およびハイブリッドクラウドリソースへのユーザーアクセスを一元的に管理できます。

1. IAM Identity Center を有効化する¶

この例では、AWS プラットフォームにログインするユーザーアカウントが、これまで IAM Identity Center サービスを利用したことがなく、今回が初めての使用であることを想定しています。

1. AWS コンソールにログインします。
2. 検索バーに「IAM Identity Center」と入力します。
3. 「有効化」をクリックします。

2. カスタム SAML 2.0 アプリケーションを作成する¶

アプリケーション管理ページで「カスタム SAML 2.0 アプリケーション」を選択し、「アプリケーションを追加」をクリックします。

1. アプリケーションタイプとして「カスタム SAML 2.0 アプリケーション」を選択します。
2. 次に「SAML 2.0」を選択し、次のステップに進みます。

アプリケーションを設定する¶

1. このアプリケーションの表示名（例：gc）を定義します。
2. 必要に応じて説明を入力します。
3. 「IAM Identity Center メタデータ」で、IAM Identity Center SAML メタデータファイルと証明書をダウンロードします。
4. 「アプリケーションメタデータ」で、「SAML 2.0 メタデータファイルをアップロード」を選択し、Guance でダウンロードしたメタデータファイルを選択します。
5. 現在の設定を送信します。
6. ページにアプリケーションが正常に追加されたことが表示されます。

3. 属性マッピングを編集する¶

属性マッピングは SAML 統合の中心的な設定であり、AWS ユーザー属性を Guance に渡すために使用されます。

アプリケーションの詳細ページに戻り、ページ右上の「アクション」>「属性マッピングを編集」をクリックします。ここで、AWS ユーザーログイン ID と Guance のロール ID とのマッピング関係を設定します。

1. システムデフォルトで提供されるフィールド Subject（ユーザーの一意識別子）を ${user:email} にマッピングするように選択します。
2. 設定が完了したら「変更を保存」をクリックします。

追加のロール属性¶

1. ロールにマッピングするユーザーまたはグループの属性を定義します。ここでは email、familyName の 2 つのフィールドを選択します。
2. この文字列値にマッピングする属性を、それぞれ $(user:email}、$(user:familyName} と定義します。
3. 現在の変更を保存します。
4. その後、Guance でロールマッピングを設定します。

4. ユーザーとグループにアクセス権を割り当てる¶

Identity Center ディレクトリで作成したユーザーとグループは、IAM Identity Center 内でのみ使用できます。その後、アクセス権を割り当てることができます。この例では、デフォルトで現在のディレクトリにユーザーとグループは追加されていません。

手順 1：ユーザーを追加する¶

1. コンソール > ユーザーページに移動します。
2. 「ユーザーを追加」をクリックします。
3. ユーザー名を定義し、ユーザーがパスワードを受け取る方法を選択し、メールアドレス、名、姓、表示名を入力します。
4. 次のステップに進みます。

注意：ここでのユーザー名、パスワード、メールアドレスは、後でこのユーザーがシングルサインオンを使用する際に必要な設定です。

手順 2：ユーザーをグループに追加する¶

1. 現在のディレクトリにグループがない場合は、右側の作成エントリに移動します。
2. グループ名を定義します。
3. 右下の「作成」ボタンをクリックします。
4. ユーザー追加ページに戻り、そのグループを選択して次のステップに進みます。
5. ユーザーの追加を確認します。ステータスメッセージで、ユーザーが正常に追加されたことが通知されます。

手順 3：アプリケーションにユーザーとグループを割り当てる¶

1. アプリケーションに移動し、設定したアプリケーション（この例では上記で設定した gc）を選択し、ユーザーとグループを割り当てます。
2. アクセス権を割り当てるすべてのユーザーとグループを検索して選択します。
3. 確認後、割り当てが成功します。

5. Guance でユーザー SSO ID プロバイダーを作成する¶

1. Guance ワークスペースにログインし、「管理」>「メンバー管理」>「ユーザー SSO」に移動します。
2. 「SAML」を選択します。
3. 「ID プロバイダーを追加」をクリックして設定を開始します。
4. ID プロバイダー名を aws_sso と定義します。
5. アプリケーション設定時にダウンロードしたメタデータドキュメントをアップロードします。
6. アクセス制限用のメールアドレスを定義します。
7. ロールとセッション保持時間を選択します。
8. 「確認」をクリックします。

ここでの詳細な設定については、SSO 管理を参照してください。

6. ログインを確認する¶

1. Guance のシングルサインオンページにログインします：https://auth.guance.com/login/sso
2. リストから AWS 側で作成したアプリケーションを選択します。
3. ログイン URL を入力します。
4. ユーザー名、パスワードを入力します。
5. ログインが成功します。