SCIM で SAMLと を設定する Google Workspace および IAM Identity Center

にサインインする Google スーパー管理者権限を持つアカウントを使用した管理者コンソール。

の左側のナビゲーションパネル Google 管理者コンソールで、アプリを選択し、ウェブアプリとモバイルアプリを選択します。

[アプリの追加] ドロップダウンリストで、[アプリの検索] を選択します。

検索ボックスに「Amazon Web Services」と入力し、リストから Amazon Web Services (SAML） アプリを選択します。

リポジトリの [] Google ID プロバイダーの詳細 - Amazon Web Services ページでは、次のいずれかを実行できます。

1. IdP メタデータをダウンロードします。

2. SSO URL、エンティティ IDURL、および証明書情報をコピーします。

ステップ 2 では、 XML ファイルまたはURL情報のいずれかが必要です。

の次のステップに進む前に Google 管理者コンソールで、このページを開いたままにして IAM Identity Center コンソールに移動します。

管理者権限を持つロールを使用して IAM Identity Center コンソールにサインインします。

左側のナビゲーションペインの [設定] を選択します。

[設定] ページで [アクション] タブを選択し、[ID ソースを変更] を選択します。

[ID ソースを選択] ページで [外部 ID プロバイダー] を選択したら、[次へ] を選択します。

[外部 ID プロバイダーの設定] ページが開きます。このページと を完了するには Google Workspace ステップ 1 の ページでは、以下を完了する必要があります。

1. Identity IAM Center コンソールの Identity Provider metadata セクションで、次のいずれかを実行する必要があります。

   1. をアップロードする Google SAML IAM Identity Center コンソールの IdP SAMLメタデータとしての メタデータ。

   2. をコピーして貼り付ける Google SSO URL IdP サインインURLフィールドに Google URL IdP 発行者フィールドに発行URL者を入力し、 Google IdP 証明書としての証明書。 IdP

を指定した後 Google アイデンティティIAMセンターコンソールのアイデンティティプロバイダーメタデータセクションの メタデータで、IAMアイデンティティアサーションコンシューマーサービス (ACS) URLとIAMアイデンティティセンター発行者 URLをコピーします。これらを URLsで指定する必要があります。Google 次のステップの管理者コンソール。

IAM Identity Center コンソールでページを開いたままにして、Google 管理者コンソール。[Amazon Web Services - サービスプロバイダーの詳細] ページが開いているはずです。[Continue] (続行) をクリックします。

サービスプロバイダーの詳細ページで、 ACSURLとエンティティ ID の値を入力します。これらの値は前のステップでコピーしたので、IAMIdentity Center コンソールで確認できます。

[サービスプロバイダーの詳細] ページで、[名前 ID] のフィールドに次のように入力します。

[Continue]（続行） を選択します。

属性マッピングページの属性で を選択しADDMAPPING、 でこれらのフィールドを設定します。 Google ディレクトリ属性：

[終了] を選択します

IAM Identity Center コンソールに戻り、次へを選択します。確認と確認ページで情報を確認し、表示されたスペースACCEPTに を入力します。[IDソースの変更] を選択します。

に戻る Google 管理コンソールと AWS IAM Identity Center アプリケーション。アプリ、ウェブ、モバイルアプリにあります。

[ユーザーアクセス] の横にある [ユーザーアクセス] パネルで、下矢印を選択して [ユーザーアクセス] を展開し、[サービスのステータス] パネルを表示します。

サービスステータスパネルで、すべてのユーザーに対してオンを選択し、 を選択しますSAVE。

IAM Identity Center コンソールに戻ります。

[設定] ページで、[自動プロビジョニング] 情報ボックスを探し、[有効化] を選択します。これにより、IAMIdentity Center の自動プロビジョニングがすぐに有効になり、必要なSCIMエンドポイントとアクセストークンの情報が表示されます。

[インバウンド自動プロビジョニング] ダイアログボックスで、以下のオプションの値をそれぞれコピーします。このチュートリアルのステップ 5 では、これらの値を入力して、 で自動プロビジョニングを設定します。Google Workspace.

1. SCIM エンドポイント - https://scim.us-east-2.amazonaws.com/11111111111-2222-3333-4444-555555555555/scim/v2 など

2. [アクセストークン] - [トークンを表示] を選択して値をコピーします。

[閉じる] を選択します。

Identity IAM Center コンソールでプロビジョニングを設定したので、次のステップでは、 で自動プロビジョニングを設定します。Google Workspace.

に戻る Google 管理者コンソールと AWS IAM Identity Center アプリケーション。アプリ、ウェブアプリ、モバイルアプリにあります。 [自動プロビジョニング] セクションで、[自動プロビジョニングの設定] を選択します。

前の手順では、IAMIdentity Center コンソールでアクセストークン値をコピーしました。その値を [アクセストークン] フィールドに貼り付け、[続行] を選択します。また、前の手順では、IAMIdentity Center コンソールでSCIMエンドポイント値をコピーしました。その値を Endpoint URL フィールドに貼り付け、続行を選択します。

必須の IAM Identity Center 属性 (* でマークされたもの) がすべて にマッピングされていることを確認します。Google Cloud Directory 属性。そうでない場合は、下矢印を選択して適切な属性にマップします。[Continue]（続行） を選択します。

プロビジョニングスコープセクションでは、Google Workspace Amazon Web Services アプリへのアクセスを提供する ディレクトリ。このステップをスキップして [続行] を選択します。

[プロビジョニング解除] セクションでは、ユーザーのアクセス権取り消しにつながるさまざまなイベントへの対応方法を選択できます。状況ごとに、プロビジョニング解除を開始するまでの時間を指定できます。

それぞれの状況には、アカウントのアクセスを一時停止するタイミングとアカウントを削除するタイミングがあります。

[完了] を選択します。Amazon Web Services アプリページに戻ります。

[自動プロビジョニング] セクションで、トグルスイッチを操作して [非アクティブ] から [アクティブ] に変更します。

確認ダイアログボックスで [オンにする] をクリックします。

ユーザーが IAM Identity Center に正常に同期されていることを確認するには、IAMIdentity Center コンソールに戻り、selectUsers を選択します。ユーザーページには、 のユーザーが一覧表示されます。Google Workspace によって作成された ディレクトリSCIM。ユーザーがまだリストに表示されていない場合は、プロビジョニングがまだ進行中である可能性があります。プロビジョニングには最長で 24 時間かかることがありますが、ほとんどの場合、数分以内に完了します。ブラウザウィンドウは数分おきに更新してください。

ユーザーを選択し、その詳細を確認します。情報は、Google Workspace ディレクトリ。

IAM Identity Center コンソールに戻ります。IAM Identity Center ナビゲーションペインのマルチアカウントアクセス許可で、 を選択しますAWS アカウント。

AWS アカウント ページの [組織構造] には、組織のルートと、その下にあるアカウントが階層内で表示されます。管理アカウントのチェックボックスをオンにし、[ユーザーまたはグループを割り当て] を選択します。

[ユーザーとグループを割り当てる] のワークフローが表示されます。これは、3 つのステップから構成されています。

1. [ステップ 1: ユーザーとグループの選択] では、管理者の職務を実行するユーザーを選択します。次いで、[次へ] を選択します。

2. [ステップ 2: アクセス許可セットの選択] では、[許可セットを作成] を選択します。新しいタブが開き、アクセス許可セットを作成するための 3 つのサブステップが順を追って表示されます。

   1. [ステップ 1: 許可セットタイプを選択] では、以下を完了します。

      • [許可セットのタイプ] で、[事前定義された許可セット] を選択します。

      • 事前定義されたアクセス許可セットのポリシーで、 を選択しますAdministratorAccess。

      [Next (次へ)] を選択します。

   2. [ステップ 2: 許可セットの詳細を指定] では、デフォルト設定のままで、[次へ] を選択します。

      デフォルト設定では、セッション期間を 1 時間に設定した という名前AdministratorAccessのアクセス許可セットが作成されます。

   3. ステップ 3: 確認して作成するには、アクセス許可セットタイプが AWS 管理ポリシー を使用していることを確認しますAdministratorAccess。[Create] (作成) を選択します。[アクセス許可セット] ページに、アクセス許可セットが作成されたことを知らせる通知が表示されます。この時点で、ウェブブラウザでこのタブを閉じてもかまいません。

   4. [ユーザーとグループを割り当てる] ブラウザタブでは、[ステップ 2: 許可セットを選択] でアクセス許可セットの作成ワークフローを開始した状態のままになっています。

   5. [アクセス許可セット] 領域で、[更新] ボタンを選択します。作成したAdministratorAccessアクセス許可セットがリストに表示されます。そのアクセス許可セットのチェックボックスを選択したら、[次へ] を選択します。

3. [ステップ 3: 確認と送信] では、選択したユーザーとアクセス許可セットを確認し、[送信] を選択します。

   ページが更新され、 AWS アカウント が設定されているというメッセージが表示されます。プロセスが完了するまで待ちます。

   AWS アカウント ページに戻ります。通知メッセージは、 AWS アカウント が再プロビジョニングされ、更新されたアクセス許可セットが適用されたことを通知します。ユーザーがサインインすると、AdministratorAccessロールを選択するオプションが表示されます。

   注記

   SCIM からの自動同期 Google Workspace はユーザーのプロビジョニングのみをサポートします。現在、自動グループプロビジョニングはサポートされていません。のグループを作成することはできません。Google Workspace を使用する ユーザー AWS Management Console。ユーザーをプロビジョニングした後、 AWS CLI Identity Store の create-group コマンドまたは IAM API を使用してグループを作成できますCreateGroup。

にサインインする Google テストユーザーアカウントを使用する。にユーザーを追加する方法を学ぶには Google Workspace、「」を参照してください。 Google Workspace ドキュメント。

を選択する Google apps ランチャー (ワッフル) アイコン。

カスタムのアプリリストの一番下までスクロールします。Google Workspace アプリケーションが配置されている。Amazon Web Services アプリが表示されます。

Amazon Web Services アプリを選択します。 AWS アクセスポータルにサインインすると、 AWS アカウント アイコンが表示されます。そのアイコンを展開すると、 AWS アカウント ユーザーがアクセスできる のリストが表示されます。このチュートリアルでは 1 つのアカウントしか使用していなかったため、アイコンを展開しても 1 つのアカウントしか表示されません。

アカウントを選択すると、そのユーザーが利用可能なアクセス許可セットが表示されます。このチュートリアルでは、アクセスAdministratorAccess許可セットを作成しました。

アクセス許可セットの横には、その許可セットで利用できるアクセスの種類を示すリンクがあります。アクセス許可セットを作成したときに、管理コンソールとプログラムによるアクセスの両方を有効にするように指定したので、これら 2 つのオプションが表示されます。[管理コンソール] を選択して AWS Management Consoleを開きます。

ユーザーはコンソールにサインインしています。