信頼できるトークン発行者の設定

1. 信頼できるトークン発行者を IAM アイデンティティセンターに追加する — IAM アイデンティティセンターの管理者は、IAM アイデンティティセンターコンソールまたは API を使用して信頼できるトークン発行者を追加します。この設定では、以下を指定する必要があります。

   • 信頼できるトークン発行者の名前。

   • OIDC ディスカバリーエンドポイント URL (IAM アイデンティティセンターコンソールでは、この URL は 発行者 URL と呼ばれます)。検出エンドポイントは、ポート 80 および 443 を介してのみ到達可能である必要があります。

   • ユーザー検索用の属性マッピング。この属性マッピングは、信頼できるトークン発行者が生成するトークンのクレームに使用されます。このクレームの値は IAM アイデンティティセンターの検索に使用されます。検索では、指定された属性を使用して IAM アイデンティティセンター内の 1 人のユーザーを取得します。

2. AWS サービスを IAM アイデンティティセンターに接続する — AWS サービス管理者は、アプリケーション用のコンソールまたはアプリケーション API を使用して、そのアプリケーションを IAM アイデンティティセンターに接続する必要があります。

   信頼できるトークン発行者が IAM アイデンティティセンターコンソールに追加されると、AWS サービスコンソールにも表示され、AWS サービス管理者が選択できるようになります。

3. トークン交換の使用を設定する — AWS サービスコンソールでは、AWS サービス管理者は、信頼できるトークン発行者が発行したトークンを受け入れるように AWS サービスを設定します。これらのトークンは IAM アイデンティティセンターによって生成されたトークンと交換されます。これには、ステップ 1 の信頼できるトークン発行者の名前と、AWS サービスに対応する Aud クレーム値を指定する必要があります。

   信頼できるトークン発行者は、発行するトークンに Aud クレーム値を入れて、そのトークンが AWS サービスによる使用を目的としていることを示します。この値を取得するには、信頼できるトークン発行者の管理者に問い合わせてください。

IAM アイデンティティセンターコンソールに信頼できるトークン発行者を追加するには

1. IAM Identity Center コンソール を開きます。

2. [設定] を選択します。

3. [設定] ページで、[認証] タブを選択します。

4. [信頼できるトークン発行者] で [信頼できるトークン発行者を作成] を選択します。

5. 「信頼できるトークンを発行するための外部 IdP を設定する」ページの「信頼できるトークン発行者の詳細」で、次の操作を行います。

   • [発行者 URL] には、信頼できる ID の伝播用のトークンを発行する外部 IdP の OIDC ディスカバリー URL を指定します。ディスカバリーエンドポイントの URL は、.well-known/openid-configuration まで、これを含まず貼り付ける必要があります。外部 IdP の管理者がこの URL を提供できます。

     注記

     注: この URL は、信頼できる ID 伝搬のために発行されたトークン内の発行者 (iss) クレームの URL と一致する必要があります。

   • [信頼できるトークンの発行者名] には、IAM アイデンティティセンターとアプリケーションコンソールで、この信頼できるトークン発行者を識別する名前を入力します。

6. [マップ属性] で、次の操作を行います。

   • [ID プロバイダー属性] では、IAM アイデンティティセンターID ストアの属性にマップする属性をリストから選択します。

   • [IAM アイデンティティセンター属性] では、属性マッピングに対応する属性を選択します。

7. [タグ (オプション)] で [新しいタグを追加] を選択し、[キー] と任意で [値 (オプション)] の値を指定します。

   タグの詳細については、「AWS IAM Identity Center リソースのタグ付け」を参照してください。

8. [信頼できるトークン発行者を作成] を選択します。

9. 信頼できるトークン発行者の作成が完了したら、アプリケーション管理者に連絡して信頼できるトークン発行者の名前を伝えて、管理者が信頼できるトークン発行者が該当するコンソールに表示されることを確認できるようにします。

10. アプリケーション管理者は、該当するコンソールでこの信頼できるトークン発行者を選択する必要があります。これにより、信頼できる ID が伝播されるように構成されたアプリケーションからユーザーがアプリケーションにアクセスできるようになります。

IAM アイデンティティセンターコンソールで信頼できるトークン発行者の設定を表示または編集するには

1. IAM Identity Center コンソール を開きます。

2. [設定] を選択します。

3. [設定] ページで、[認証] タブを選択します。

4. [信頼できるトークン発行者] で、表示または編集する信頼できるトークン発行者を選択します。

5. [Actions] (アクション) を選択して、[Edit] (編集) を選択します。

6. [信頼できるトークンの発行者を編集] ページで、必要に応じて設定を表示または編集します。信頼できるトークンの発行者名、属性マッピング、およびタグを編集することができます。

7. [Save changes] (変更の保存) をクリックします。

8. [信頼できるトークン発行者を編集] ダイアログボックスに、変更を加えるかどうかを確認するメッセージが表示されます。[確認] を選択します。