Microsoft Entra ID および IAM アイデンティティセンターによる SAML と SCIM の設定

クラウドアプリケーション管理者以上の権限で、Microsoft Entra 管理センターにサインインします。

[ID] > [アプリケーション] > [エンタープライズアプリケーション] に移動し、[新しいアプリケーション] を選択します。

[Microsoft Entra ギャラリーの参照] ページで、検索ボックスに AWS IAM Identity Center を入力します。

結果AWS IAM Identity Centerから を選択します。

[作成] を選択します。

Microsoft Entra 管理センターコンソールで、[ID] > [ユーザー] > [すべてのユーザー] に移動します。

[新しいユーザー] を選択し、画面上部の [新しいユーザーの作成] を選択します。

[ユーザープリンシパル名] に NikkiWolf と入力し、目的のドメインと拡張子を選択します。例えば、NikkiWolf@example.org などです。

[表示名] に NikkiWolf と入力します。

[パスワード] に、強力なパスワードを入力するか、目のアイコンを選択して自動生成されたパスワードを表示し、表示された値をコピーするか書き留めてください。

[プロパティ] を選択し、[名] に Nikki と入力します。[姓] に、Wolf と入力します。

[レビューと作成] を選択したら、[作成] を選択します。

同じブラウザで新しいタブを開き、マイアカウントポータルのサインインページに移動し、Nikki の完全な E メールアドレスを入力します。例えば、NikkiWolf@example.org などです。

プロンプトが表示されたら、Nikki のパスワードを入力し、[サインイン] を選択します。これが自動生成されたパスワードの場合は、パスワードを変更するように求められます。

[アクションが必要] ページで [後で確認する] を選択すると、追加のセキュリティメソッドの入力を求めるプロンプトは表示されなくなります。

マイアカウントページの左側のナビゲーションペインで、マイアプリ を選択します。現時点では、アドイン以外のアプリが表示されていないことに注意してください。後のステップでここに表示される AWS IAM Identity Center アプリを追加します。

Microsoft Entra 管理センターコンソールで、[ID] > [アプリケーション] > [エンタープライズアプリケーション] に移動し、リストから AWS IAM Identity Center を選択します。

左側で [ユーザーとグループ] を選択します。

[Add user/group] (ユーザーとグループを追加) を選択します。グループを割り当てることができないというメッセージは無視してかまいません。このチュートリアルでは、割り当てにグループを使用しません。

[割り当てを追加] ページの [ユーザー] で、[何も選択されていません] を選択します。

を選択しNikkiWolf、 を選択 を選択します。

「割り当ての追加」ページで「割り当て NikkiWolf 」を選択します。AWS IAM Identity Centerアプリに割り当てられているユーザーのリストに が表示されます。

IAM Identity Center コンソール を開きます。

[マルチアカウント権限] で、[権限セット] を選択します。

[Create permission set] (アクセス権限セットの作成) を選択します。

[許可セットタイプを選択] ページで [カスタム許可セット] を選択し、[次へ] を選択します。

[インラインポリシー] を選択して展開し、次の手順を使用してアクセス許可セットのポリシーを作成します。

1. [新しいステートメントを追加] を選択してポリシーステートメントを作成します。

2. 編集ステートメント で、リストからアカウントを選択し、次のチェックボックスをオンにします。

   • ListRegions

   • GetRegionOptStatus

   • DisableRegion

   • EnableRegion

3. [リソースの追加] の横にある [追加] を選択します。

4. [リソースを追加] ページの [リソースタイプ] で、[すべてのリソース] を選択し、[リソースを追加] を選択します。ポリシーが次のようになっていることを確認します。

   {
       "Statement": [
           {
               "Sid": "Statement1",
               "Effect": "Allow",
               "Action": [
                   "account:ListRegions",
                   "account:DisableRegion",
                   "account:EnableRegion",
                   "account:GetRegionOptStatus"
               ],
               "Resource": [
                   "*"
               ]
           }
       ]
   }

[次へ] をクリックします。

[許可セットの詳細を指定] ページの [許可セット名] に RegionalAdmin と入力し、[次へ] を選択します。

[確認して作成] ページで、[作成] をクリックします。アクセス許可セットのリストに RegionalAdminが表示されます。

IAM Identity Center コンソールを開きます。

[ユーザー] を選択し、[ユーザーを追加] を選択して、次の情報を入力します。

1. [ユーザー名] と [メールアドレス] の両方に、Microsoft Entra ID ユーザーを作成したときに使用したのと同じ NikkiWolf@yourcompanydomain.extension を入力します。例えば、NikkiWolf@example.org などです。

2. [メールアドレスの確認] — 前のステップで使用したメールアドレスを再入力します。

3. [名] — Nikki と入力します。

4. [姓] — Wolf と入力します。

5. [表示名] — Nikki Wolf と入力します。

[次へ] を 2 回選択後、[ユーザーの追加] を選択します。

[Close] を選択します。

IAM Identity Center コンソール を開きます。

[マルチアカウント権限] で、[AWS アカウント] を選択します。

リージョンを管理するためのアクセス権限を Nikki に付与するアカウント名 (サンドボックス など) の横にあるチェックボックスを選択し、ユーザーとグループの割り当て を選択します。

[ユーザーとグループを割り当てる] ページで [ユーザー] タブを選択し、Nikki の横にあるボックスを探してオンにし、[次へ] を選択します。

[IAM Identity Center コンソール] で [設定] を選択します。

[設定] ページで [ID ソース] タブを選択し、[アクション] > [ID ソースを変更] を選択します。

[ID ソースを選択] ページで [外部 ID プロバイダー] を選択したら、[次へ] を選択します。

「外部 ID プロバイダーの設定」ページの「サービスプロバイダーメタデータ」で、「メタデータファイルのダウンロード」を選択して XML ファイルをダウンロードします。

同じセクションで、[AWS アクセスポータルのサインイン URL] 値を見つけてコピーします。この値は、次のステップで求められたときに入力します。

このページを開いたまま、次のステップ (Step 3.2) に進み、 で AWS IAM Identity Center エンタープライズアプリケーションを設定しますMicrosoft Entra ID。後でこのページに戻り、プロセスを完了します。

Microsoft Entra 管理センターコンソールで、[ID] > [アプリケーション] > [エンタープライズアプリケーション] に移動し、[AWS IAM Identity Center] を選択します。

左側の 2 を選択します。シングルサインオン をセットアップします。

「SAML で Single Sign-On を設定する」ページで、「SAML 」を選択します。次に、メタデータファイルのアップロード を選択し、フォルダアイコンを選択し、前のステップでダウンロードしたサービスプロバイダーメタデータファイルを選択し、追加 を選択します。

基本 SAML 設定ページで、識別子 URL 値と応答 URL 値の両方 AWS が、 で始まる のエンドポイントを指していることを確認しますhttps://<REGION>.signin.aws.amazon.com/platform/saml/。

[サインオン URL (オプション)] に、前のステップでコピーした AWS アクセスポータルのサインイン URL の値 (Step 3.1) を貼り付け、[保存] を選択したら、[X] を選択してウィンドウを閉じます。

でシングルサインオンをテストするように求められたら AWS IAM Identity Center、後でテストする を選択します。この検証は、後のステップで行います。

[SAML によるシングルサインオンの設定] ページの [SAML 証明書] セクションで、[フェデレーションメタデータ XML] の横にある [ダウンロード] を選択し、メタデータファイルをシステムに保存します。次のステップでプロンプトが表示されたら、このファイルをアップロードする必要があります。

IAM アイデンティティセンターコンソールで、Step 3.1 で開いたままにしたブラウザセッションに戻ります。

[外部 ID プロバイダーの設定] ページの [ID プロバイダーのメタデータ] セクションの [IdP SAML メタデータ] で、[ファイルを選択] ボタンを選択し、前のステップで Microsoft Entra ID からダウンロードした ID プロバイダーのメタデータファイルを選択して、[開く] を選択します。

[次へ] をクリックします。

免責事項を読み、次に進む準備ができたら、ACCEPT と入力してください。

[ID ソースを変更] を選択して変更を適用します。

マイアカウントポータルのサインインページに移動し、Nikki の完全なメールアドレスを入力します。例えば、NikkiWolf@example.org と入力します。

プロンプトが表示されたら、Nikki のパスワードを入力し、[サインイン] を選択します。

マイアカウントページの左側のナビゲーションペインで、マイアプリ を選択します。

[マイアプリ] ページで、AWS IAM Identity Center という名前のアプリを選択します。これにより、追加の認証を求めるプロンプトが表示されます。

Microsoft のサインインページで、 NikkiWolf 認証情報を選択します。認証を 2 回目に求められた場合は、 NikkiWolf 認証情報を再度選択します。これにより、 AWS アクセスポータルに自動的にリダイレクトされます。

[AWS アカウント] のアイコン が表示されていることを確認します。

AWS アクセスポータルで、AWS アカウントアイコンを選択してアカウントのリスト を展開します。アイコンを選択すると、アクセス許可セットを定義したアカウントに関連付けられているアカウント名、アカウント ID、メールアドレスが表示されます。

アクセス許可セットを適用したアカウント名 (Sandbox など) を選択します (Step 2.3 をご覧ください)。これにより、Nikki が自分のアカウントを管理するために選択できるアクセス許可セットのリストが展開されます。

アクセスRegionalAdmin許可セットで定義したロールを引き受けるには、 RegionalAdminマネジメントコンソールを選択します。これにより、 AWS Management Console ホームページにリダイレクトされます。

コンソールの右上で、アカウント名を選択してから [アカウント] を選択します。これにより、[アカウント] ページに移動します。このページの他のすべてのセクションには、これらの設定を表示または変更するのに必要なアクセス許可がないことを示すメッセージが表示されます。

[アカウント] ページで、 [AWS リージョン] までスクロールダウンします。テーブルで使用可能なリージョンのチェックボックスをオンにします。Nikki には、自分のアカウントのリージョンのリストを意図したとおりに [有効化] または [無効化] するために必要なアクセス許可が付与されています。

Microsoft Entra 管理センターコンソールで、[ID] > [ユーザー] > [すべてのユーザー] に移動します。

[新しいユーザー] を選択し、画面上部の [新しいユーザーの作成] を選択します。

[ユーザープリンシパル名] に RichRoe と入力し、目的のドメインと拡張子を選択します。例えば、RichRoe@example.org などです。

[表示名] に RichRoe と入力します。

[パスワード] に、強力なパスワードを入力するか、目のアイコンを選択して自動生成されたパスワードを表示し、表示された値をコピーするか書き留めてください。

[プロパティ] を選択し、以下の値を指定します。

[レビューと作成] を選択したら、[作成] を選択します。

[IAM アイデンティティセンターコンソール] で、左のナビゲーションペインの [設定] を選択します。

[設定] ページの [ID ソース] タブで、[プロビジョニング方法] が [手動] に設定されていることに注目してください。

[自動プロビジョニング] 情報ボックスを見つけ、[有効にする] を選択します。これにより、すぐに IAM Identity Center の自動プロビジョニングが有効になり、必要なエンドポイントとアクセストークンの情報が表示されます。

[Inbound automatic provisioning] (インバウンド自動プロビジョニング) ダイアログボックスで、以下のオプションの値をそれぞれコピーします。これらは、次のステップで Microsoft Entra ID でプロビジョニングを設定する際に貼り付ける必要があります。

1. [SCIM エンドポイント] - 例えば https://scim.us-east-2.amazonaws.com/11111111111-2222-3333-4444-555555555555/scim/v2/

2. [アクセストークン] - [トークンを表示] を選択して値をコピーします。

[閉じる] を選びます。

[ID ソース] タブで、[プロビジョニング方法] が [SCIM] に設定されていることに注目してください。

Microsoft Entra 管理センターコンソールで、[ID] > [アプリケーション] > [エンタープライズアプリケーション] に移動し、[AWS IAM Identity Center] を選択します。

[プロビジョニング] を選択し、[管理] で [プロビジョニング] をもう一度選択します。

[プロビジョニングモード] で [自動] を選択します。

[管理者認証情報] の [テナント URL] に、Step 4.1 で先ほどコピーした [SCIM エンドポイント] URL 値を貼り付けます。[シークレットトークン] にアクセストークンの値を貼り付けます。

接続のテストを選択します。テストした認証情報が正常に認証され、プロビジョニングが可能になったことを示すメッセージが表示されます。

[保存] を選択します。

[管理] で [ユーザーとグループ] を選択し、[ユーザー/グループの追加] を選択します。

[割り当てを追加] ページの [ユーザー] で、[何も選択されていません] を選択します。

を選択しRichRoe、 を選択 を選択します。

[Add Assignment] (割り当てを追加) ページで、[Assign] (割り当て) を選択します。

[概要] を選択したら、[プロビジョニングの開始] を選択します。

IAM アイデンティティセンターコンソールで [ユーザー] をクリックします。

ユーザーページに、RichRoeユーザーが表示されます。[作成者] 列の値が [SCIM] に設定されていることに注意してください。

プロファイル RichRoeで を選択し、次の属性が からコピーされたことを確認しますMicrosoft Entra ID。

これで Richard のユーザーが IAM アイデンティティセンターで作成されたので、そのユーザーを任意のアクセス許可セットに割り当てて、 AWS リソースに対する Richard のアクセスレベルを制御できます。例えば、以前に使用したRegionalAdminアクセス許可セットRichRoeに を割り当てて、リージョンを管理するアクセス許可を Nikki に付与し (「」を参照Step 2.3）、 を使用してアクセスレベルをテストできますStep 3.5。

Microsoft Entra 管理センターコンソールで、[ID] > [アプリケーション] > [エンタープライズアプリケーション] に移動し、[AWS IAM Identity Center] を選択します。

[Single Sign-On] (Single Sign-On) を選択します。

[属性とクレーム] セクションで、[編集] を選択します。

[属性とクレーム] ページで、以下を実行します。

1. [Add new claim] (新しいクレームを追加する) を選択します。

2. [Name] (名前) に AccessControl:AttributeName を入力します。を IAM Identity Center で想定している属性の名前AttributeNameに置き換えます。例えば AccessControl:Department です。

3. Namespaceに https://aws.amazon.com/SAML/Attributes. と入力します。

4. 出典 で、属性を選択します。

5. [ソースの属性] で、ドロップダウンリストを使用して、[Microsoft Entra ID ユーザー属性] を選択します。例えば user.department です。

SAML アサーションで IAM Identity Center に送信する必要のある各属性について、前のステップを繰り返します。

[保存] を選択します。