Happy Elements 株式会社カカリアスタジオ Advent Calendar 2016 2 日目の記事となります．本日の担当はインフラグループの @nagizero です．よろしくお願いします．

はじめに

従来，弊社では AWS を利用する従業員ひとりひとりに IAM アカウントを発行していました．最初はよかったのですが，利用者が増えるにつれてアカウントの管理が煩雑になっていきました．さらに，複数の AWS を利用することになったため，管理コストも倍々となりました．

そこで，管理の手間を省くために，従業員がすでに持っている何かしらのアカウントで認証を統合することにしました．弊社では Google Apps for Work を利用していたので， Google アカウントを利用して AWS を利用できるように設定しました．

以下， Google Apps for Work のアカウントで AWS にログインできるようになるまでの手順をスクリーンショットを交えながら記載します．

資料

これらの記事には大変お世話になりました．この場で謝意を表します．

AWS, Google Apps 双方の管理者権限が必要となります．

Google Apps の管理コンソールから Security を開きます．

Set up single sign-on (SSO) から Certificate と IDP metadata をダウンロードします．

AWS の IAM コンソールから ID プロバイダ を選択して プロバイダの作成を押します．

プロバイダーのタイプは SAML, プロバイダ名は GoogleApps, メタデータドキュメントは先ほど Google Apps からダウンロードした IDP metadata を選択して次に進みます．

作成を押して終了です．

プロバイダのリストから GoogleApps を選択し，プロバイダの ARN をメモしておきます．

AWS の IAM コンソールから ロール を選択して 新しいロールの作成を押します．

ロール名を入力して次に進みます．テストのため，読み込み権限のみを持つ ReadOnly ロールを作成してみます．

ID プロバイダアクセス用のロール から SAML プロバイダへのウェブシングルサインオン (WebSSO) アクセスを付与を選択します．

先ほど作成したプロバイダ GoogleApps を選択して次に進みます．

次に進みます．

ReadOnlyAccess を選択して次に進みます．

ロール ARN をメモした後，ロールの作成を押して終了です．

Google Apps の管理コンソールから Apps > SAML Apps を開き， Add a service/App to your domain を押し， Amazon Web Services を選択します．

NEXT を押します．

お好みでロゴをアップロードして NEXT を押します．

NEXT を押します．

https://aws.amazon.com/SAML/Attributes/RoleSessionName に Basic Information の Primary Email をマッピングします．また， https://aws.amazon.com/SAML/Attributes/Role に Employee Details の Job Title をマッピングして FINISH を押します．