証明書利用者の信頼およびクレームの追加によって SAML 2.0 IdP を設定する

IAM ID プロバイダー、および SAML アクセス用のロールを作成すると、外部 ID プロバイダー (IdP) の詳細とそのユーザーが許可されているアクションが AWS に通知されます。次のステップでは、IdP に対し、サービスプロバイダーとしての AWS について通知します。これは、IdP と AWS の間に証明書利用者の信頼を追加することと呼ばれます。証明書利用者の信頼を追加するための正確なプロセスは、使用する IdP によって異なります。詳細については、使用している ID 管理ソフトウェアのドキュメントを参照してください。

多くの IdP が URL の指定を許可しています。IdP はこの URL から、証明書利用者の情報と証明書が含まれる XML ドキュメントを読み取ることができます。AWS については、https://region-code.signin.aws.amazon.com/static/saml-metadata.xml または https://signin.aws.amazon.com/static/saml-metadata.xml を使用します。実行可能な region-code 値のリストについては、「AWS サインインエンドポイント」の [Region] (リージョン) 列を参照します。

URL を直接指定できない場合は、XML ドキュメントを前述の URL からダウンロードし、ダウンロードした XML ドキュメントを IdP ソフトウェアにインポートします。

また、IdP で、AWS を証明書利用者として指定する適切なクレームルールを作成する必要があります。IdPが AWS エンドポイントにSAML応答を送信すると、1つ以上のクレームを含む SAML アサーションが含まれます。クレームとは、ユーザーとそのグループに関する情報です。クレームルールはその情報を SAML 属性にマッピングします。これにより、AWS が IAM ポリシー内でフェデレーティッドユーザーのアクセス許可を確認するのに必要な属性が、IdP からの SAML 認証レスポンスに確実に含まれます。詳細については、以下の各トピックを参照してください。