More than 3 years have passed since last update.

AzureADの認証情報(SSO)を使って AWSのコンソールにアクセスする

Last updated at 2020-02-01Posted at 2020-02-01

目的

複数のAWSアカウントを利用用途に使い分けていると、それぞれのログイン情報を管理するのは煩雑なので Azure Active Directory の認証情報を用いて、Office 365 ポータルからAWSコンソールを利用できる状態にします。

手順1. AzureADにエンタープライズアプリケーションを追加

チュートリアル:Azure Active Directory シングルサインオン (SSO) とアマゾンウェブサービス (AWS) の統合に書いてある通りです。

AzureAD のエンタープライズアプリケーションに追加

「Azure Active Directory 管理センター」の「エンタープライズアプリケーション」で + 新しいアプリケーション を選択します。

追加するアプリケーションを指定するので、「ギャラリーから追加する」にあるテキストボックスに「Amazon Web Services」と入力して、候補に上がった Amazon Web Services(AWS) を選択します。

画面右側に詳細が表示されるので、「名前」に利用するAWSアカウントを識別できるものに変更して、 追加 をクリックします。ここで指定した名前は Office 365 ポータルのの表示にも使われます。

Azure Active DirectoryのエンタープライズアプリケーションでSAMLの設定

追加したエンタープライズアプリケーションの「概要」が表示されるので、 2。シングルサインオンの設定 を選択します。

「シングルサインオン方式の選択」から SAML を選択します。

SAMLの設定画面を表示した時に識別子と応答URL を問われるので、 いいえ、後で保存します を選択します。

スクロールして、「SAML署名証明書」にある フィレデーションメタデータXML をダウンロードします。ここでダウンロードしたXMLは AWSに設定を行う過程で、AWSコンソールからアップロードします。

手順2.AWSにIDプロバイダーを追加

AWSコンソソールにログインして、　「Identity and Access Management (IAM)」の IDプロバイダー の作成を開始します。

作成する IDプロバイダーの情報を入力します。入力後は画面右下の 次のステップ をクリックします。

プロバイダーのタイプ
- SAML を選択する
プロバイダー名
- 任意の名前を入力する
- 次の手順で IAM ロールを作成する時に指定するので名前を控えておく
メタデータドキュメント
- AzureADのエンタープライズアプリケーションの設定をこなう過程でダウンロードした「SAML署名証明書」にの フィレデーションメタデータXML を指定する

入力した IDプロバイダーの確認画面が表示されるので、誤りがなければ画面右下の 作成 をクリックします。

IDプロバイダーが作成されると、一覧に追加されます。

手順3. AWSでIAMロールを作成してSSOで認証されたユーザの権限を定義する

「Identity and Access Management (IAM)」の ロール の作成を開始します。

作成するロールの情報を指定します。必要な指定を行ったら、 次のステップ: アクセス権限 をクリックします。

信頼されたエンティティの種類を選択
- SAML2.0 フィデレーション を選択する
SAML 2.0 プロバイダを選択
- SAML プロバイダーは一つ前の手順で作成した IDプロバイダーを指定する
- プログラムによるアクセスとAWSマネージメントコンソールによるアクセスを許可する を選択する
- 属性 は変更しない
- 値 は変更しない
- 条件 はAzure Active Directoryの属性に基づいて条件付けを行うのであれば指定する

Azure Active Directoryで認証したユーザに付与する IAM ポリシーを指定したら、次のステップ: タグ をクリックします。今回は「ReadOnlyAccess」にしました。

タグを適宜設定したら、次のステップ: 確認 をクリックします。

最後に、ロール名とロールの説明を入力して、 ロールの作成 をクリックします。ここで指定したロール名は AzureADの「エンタープライズアプリケーション」の「ユーザとグループ」で利用されます。後の手順でユーザを単位に付与するロールを指定します。

ロール名
- 「ReadOnlyAccessWithAzureAD」
説明
- 「Grant ReadOnlyAccess permission to the user authenticated by Azuru AD.」

ロールの一覧に今回作成した IAM ロールが追加された事を確認します。

手順4. AWSのIAMロールのリストを取得できるIAMユーザを作成する

ポリシーを作成

AzureADがユーザにロールを割り当てるために、ロールの一覧を取得できるIAMユーザを作成します。

まずは、ポリシーを作成します。「Identity and Access Management (IAM)」のポリシーの作成を開始します。

ポリシーの作成画面では、 JSON タブに下に JSONを設定して、 ポリシーの確認 をクリックします。

IAMロールの一覧取得を許可する

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
            "iam:ListRoles"
            ],
            "Resource": "*"
        }
    ]
}