サードパーティー SAML ID プロバイダーの設定

SAML ID プロバイダー (IdP) をユーザープールに追加する場合は、IdP の管理インターフェイスで設定を更新する必要があります。このセクションでは、IdP に提供する必要がある値をフォーマットする方法について説明します。また、IdP とそのユーザープールへの SAML クレームを識別する静的なまたはアクティブな URL メタデータドキュメントを取得する方法についても説明します。

Amazon Cognito ユーザープールのフェデレーションと連携するようにサードパーティー SAML 2.0 ID プロバイダー (IdP) ソリューションを設定するには、次のアサーションコンシューマーサービス (ACS) の URL にリダイレクトするように SAML IdP を設定する必要があります: https://mydomain.us-east-1.amazoncognito.com/saml2/idpresponse。ユーザープールに Amazon Cognito ドメインがある場合、Amazon Cognito コンソールのユーザープールの [App integration] (アプリの統合) タブでユーザープールドメインのパスを見つけることができます。

一部の SAML IdP では、オーディエンス URI または SP エンティティ ID とも呼ばれる urn を urn:amazon:cognito:sp:us-east-1_EXAMPLE　の形式で指定する必要があります。ユーザープール ID は、Amazon Cognito コンソールの [ユーザープールの概要] で確認できます。

また、SAML IdP を設定して、ユーザープールの必須属性として指定した属性の値を指定する必要もあります。通常、email はユーザープールに必要な属性です。この場合、SAML IdP は、SAML アサーションに何らかの形式の email クレームを指定し、そのクレームをそのプロバイダーの属性にマッピングする必要があります。

サードパーティーの SAML 2.0 IdP ソリューションについての以下の設定情報は、Amazon Cognito ユーザープールでフェデレーションのセットアップを開始するのに適しています。最新情報については、プロバイダーのドキュメントを直接参照してください。

SAML リクエストに署名するには、ユーザープール署名証明書によって署名されたリクエストを信頼するように IdP を設定する必要があります。暗号化された SAML レスポンスを受け入れるには、ユーザープールへのすべての SAML レスポンスを暗号化するように IdP を設定する必要があります。プロバイダーは、これらの機能の設定に関するドキュメントを用意します。Microsoft の例については、「Microsoft Entra の SAML トークン暗号化を構成する」を参照してください。