概要

OpenAMを使って、AWSマネジメントコンソール ( AMC ) にIdP-InitiatedなSingle-Sign-On（SSO）をする手順を書きます。

前提

OpenAMのインストールが完了していること（まだの場合は、[こちら]
(http://qiita.com/Tom3/items/4f5634244efc20196928))

手順

ざっくりな手順は以下のとおり。

Circle of Trust ( CoT ) を構成する
ID連携を行う

CoTを構成する

まず最初に、IdPとSP間でメタデータの交換（相互設定）を行います。

OpenAMに管理者アカウントでログインして、[Top Level Realm]>[Create SAMLv2 Providers]>[Create Hosted Identity Provider]の順で選択したら、以下の値を入力して「Configure」をクリックする。
- Signing Key = test
- New Circle of Trust = AWSSSO
なお、metadataは [title](http://~)[こちら](https://signin.aws.amazon.com/static/saml-metadata.xml)より入手して、アップロードしてください。
"Your Identity Provider has been configured"と表示されたら、「register a service provider」リンクをクリックします。
OpenAMへAMCのメタデータを登録する

ID連携を行う

IAMロールを作成する
1. ロール画面で「新しいロールの作成」をクリックする。
2. ロール名に「SAMLRole」と入力し「次のステップ」をクリックする。
3. ロールタイプの選択で「IDロールプロバイダアクセス用のロール」＞「SAMLプロバイダへのWebSSOアクセスを付与」を選択する。
4. 追加したIDプロバイダを選択して「次のステップ」をクリックする。
5. ポリシードキュメントを確認して「次のステップ」をクリックする。
6. ポリシー「ReadOnlyAccess」をアタッチして「次のステップ」をクリックする。
7. 内容を確認して「ロールの作成」をクリック。
8. 作成したロールの概要を開き、「ロールARN」「信頼されたエンティティ」を控えます。
~~SSOするIAMユーザを作成する~~
OpeAMに対応するユーザを作成する
1. 「Top Level Realm」＞「Subjects」の順に選択し、「New」をクリックする。
2. 以下の値を入力して「OK」をクリックする。 ID: samluser First Name: samluser Last Name: samluser Full Name: samluser test Password: samluser3 User Status: Active
3. 「samluser」のカスタム属性「Employee Number」に「ロールARN」と「信頼されたエンティティ」をカンマで繋げた値を入力して、「Save」をクリックする。
4. SP「urn:amazon:web service」の設定画面を開き、「Assertion Processing」タブの「Attribute Map」に以下を追加して「Save」をクリックする。 https://aws.amazon.com/SAML/Attributes/Role=employeeNumber https://aws.amazon.com/SAML/Attributes/RoleSessionName=uid (Emailを連携したい場合は、https://aws.amazon.com/SAML/Attributes/RoleSessionName=mail)

動作確認

次のURLにアクセスして、「samluser」でログインします。
http://sso.xxxx.com:8080/openam/idpssoinit?metaAlias=/idp&spEntityID=urn:amazon:webservices

すると、AMCが開きます！

訂正

2016.4.4 AWS側にSSO用のユーザー作成の必要はありません。