SAML 2.0 フェデレーション用のロールを作成する (コンソール)

SAML ベースのフェデレーション用のロールを作成する前に、IAM で SAML プロバイダーを作成する必要があります。詳細については、「IAM で SAML ID プロバイダーを作成する」を参照してください。

SAML 2.0 認証ユーザーが引き受けるロールのポリシーを準備します。すべてのロールに該当することですが、SAML フェデレーション用のロールにも 2 つのポリシーが含まれています。1 つは、ロールの引き受け先を指定するロール信頼ポリシーです。もう 1 つは IAM アクセス許可ポリシーです。このポリシーでは、フェデレーティッドユーザーにアクセスを許可または拒否する AWS アクションやリソースを指定します。

ロールの信頼ポリシーを作成する場合は、以下の 3 つの値を使用して当該アプリケーションにのみロールの引き受けを許可する必要があります。

次の例では、SAML フェデレーティッドユーザー用に設計された信頼ポリシーを示します。

{
    "Version": "2012-10-17",
    "Statement": {
      "Effect": "Allow",
      "Action": "sts:AssumeRoleWithSAML",
      "Principal": {"Federated": "arn:aws:iam::account-id:saml-provider/PROVIDER-NAME"},
      "Condition": {"StringEquals": {"SAML:aud": "https://signin.aws.amazon.com/saml"}}
    }
  }

プリンシパル ARN は、IAM で作成した SAML プロバイダー用の実際の ARN に置き換えます。これは、独自のアカウント ID およびプロバイダー名になります。

AWS Management Console にサインインして、IAM コンソール (https://console.aws.amazon.com/iam/) を開きます。

IAM コンソールのナビゲーションペインで、[ロール]、[ロールの作成] の順に選択します。

[SAML 2.0 フェデレーション] ロールタイプを選択します。

[Select a SAML provider] (SAML プロバイダーの選択) で、ロールのプロバイダーを選択します。

SAML 2.0 のアクセスレベルメソッドを選択します。

作成されたロールはいずれも似ていますが、コンソールから引き受けられるロールにも、特定の条件を含む信頼ポリシーがあります。その条件では明示的に、SAML 対象者 (SAML:aud 属性) が SAML の AWS サインインエンドポイント (https://signin.aws.amazon.com/saml) に設定されます。

プログラムによるアクセス用のロールを作成する場合は、[属性] リストから属性を選択します。次に、[Value] (値) ボックスで、ロールに追加する値を入力します。これにより、ロールアクセスは、指定した属性を SAML 認証応答 (アサーション) に含んでいる ID プロバイダーのユーザーのみに制限されます。ロールが組織のユーザーのサブセットに限定されるように、少なくとも 1 つの属性を指定する必要があります。

プログラムによるアクセスとコンソールによるアクセス用のロールを作成する場合、SAML:aud 属性が自動的に追加され、AWS SAML エンドポイントの URL (https://signin.aws.amazon.com/saml) に設定されます。

信頼ポリシーに属性関連の条件をさらに追加するには、[Condition](optional) (条件) (オプション) を選択し、続いて追加の条件を選択して、値を指定します。

SAML 2.0 の信頼情報を確認し、[Next] (次へ) を選択します。

IAM には、あなたのアカウント内の AWS 管理ポリシーとカスタマー管理ポリシーのリストがあります。アクセス許可ポリシーとして使用するポリシーを選択するか、[Create policy] (ポリシーの作成) を選択して新しいブラウザタブを開き、新しいポリシーをゼロから作成します。詳細については、「IAM ポリシーの作成」を参照してください。ポリシーを作成したら、そのタブを閉じて元のタブに戻ります。OIDC フェデレーションユーザーに割り当てるアクセス許可ポリシーの横にあるチェックボックスをオンにします。必要に応じて、この時点でポリシーを選択せずに、後でポリシーをロールにアタッチすることもできます。デフォルトでは、ロールにはいずれのアクセス権限もありません。

(オプション) アクセス許可の境界を設定します。これはアドバンスド機能です。

[Permissions boundary] (アクセス許可の境界) セクションを開き、[Use a permissions boundary to control the maximum role permissions] (アクセス許可の境界を使用してロールのアクセス許可の上限を設定する) を選択します。アクセス許可の境界として使用するポリシーを選択します。

[Next] を選択します。

[次へ: レビュー] を選択します。

[Role name] (ロール名) に、ロールの名前を入力します。ロール名は AWS アカウント アカウント内で一意である必要があります。大文字と小文字は区別されません。例えば、PRODROLE と prodrole というロール名を両方作成することはできません。他の AWS リソースがロールを参照している場合があるため、作成後はロールの名前を変更できません。

(オプション) [Description] (説明) には、新しいロールの説明を入力します。

[Step 1: Select trusted entities] (ステップ 1: 信頼済みエンティティの選択) または [Step 2: Add permissions] (ステップ 2: 権限の追加) のセクションで [Edit] (編集) を選択し、ロールのユースケースと権限を変更します。

(オプション) タグをキーバリューのペアとしてアタッチして、メタデータをロールに追加します。IAM におけるタグの使用の詳細については、「AWS Identity and Access Management リソースのタグ」を参照してください。

ロール情報を確認し、ロールの作成 を選択します。