LoginSignup
2
2

Delete article

Deleted articles cannot be recovered.

Draft of this article would be also deleted.

Are you sure you want to delete this article?

More than 5 years have passed since last update.

@Tom3inKDDI株式会社

OpenAMを使ったAWSマネジメントコンソールへのSSOをMulti-Roleに対応させる方法

Last updated at Posted at 2016-04-05

概要

　前回までで、Single-Roleの場合についてはOpenAMのダッシュボードよりAWSマネジメントコンソール（以降、AMC）へのSSOができるようになった。今回は、Multi-Roleの場合についても同様にSSOできるようにするための手順を書きます。

設定

  1. OpenAM側の対象ユーザの編集画面を開き[User Alias List]に、AWSロールの"Role ARN"と"Trusted Entities"をカンマで繋げた値を追加する。
    55456aaa-7ae3-a5dc-7ddd-84483f68b865.png

  2. SP[urn:amazon:webservices]の[Assertion Processing]のページへ行き、[Attribute Map]へhttps://aws.amazon.com/SAML/Attributes/Role=iplanet-am-user-alias-listを追加する。（https://aws.amazon.com/SAML/Attributes/Role=employeeNumberがあれば削除）。
    Untitled3.png

以上で完了。

動作

  1. OpenAMにログインしてダッシュボードよりAMCを起動する。
    OpenAMdash.png

  2. ロールを選択する画面が表示されるので、目的のロールを選択してログインする。

select_role.png

↑↑ログインユーザにAWSロールである「Administrator」「OpenAMSAML」を関連付けた場合

まとめ

たったこれだけです。ですが、複数ロールをSAMLResponseに乗せてAMC側へどのように渡せばいいのかでかなり悩みました。

最初は、Groupにて設定するのが管理的にも綺麗かと思ったのですがAssertionに余計なタグが出てしまったりしてうまくいかず。
最終的に[User Alias List]を使うことにしたのですが、もっと良い方法ありそうに思います。OktaやOneLogin、Pingfederateでは簡単に設定できるようです。

参考

2
2
0

Register as a new user and use Qiita more conveniently

  1. You get articles that match your needs
  2. You can efficiently read back useful information
  3. You can use dark theme
What you can do with signing up
Sign upLogin
2
2

Delete article

Deleted articles cannot be recovered.

Draft of this article would be also deleted.

Are you sure you want to delete this article?