課題

2022年12月8日現在、boto3のIdentityStore（AWS IAM Identity Centerのうち、ユーザーアイデンティティー情報を取り扱うAPI）でdescribe_user()を実行しようとすると、期待した戻り値が返らない。具体的には、UserNameとUserIdしか返ってこない。

Azure ADからIdentity CenterにSCIMで連携されたユーザー属性情報を元にQuickSightのAPIを呼びたかったのだが、この状態では何の処理もできない。

原因

GitHubで報告され、boto3側では既にFixされているのだが（boto3-1.24.64）、Lambda側のランタイムが古い（boto3-1.20.32）のが原因。

解決方法

Lambdaレイヤーを使って最新バージョンのboto3に置き換えることで解決する。

0.サンプルコード

サンプルコードは以下。

DescribeUsertest-20221107

import boto3

def lambda_handler(event, context):
  '''
  To test describe_test() API which had a bag
  https://github.com/boto/boto3/issues/3436 
  '''
  print('### BOTO3:',boto3.__version__)

  # Obtain account ID and region
  account_id = boto3.client('sts').get_caller_identity()['Account']
  region = boto3.session.Session().region_name

  # Setup clients
  iic = boto3.client('identitystore')

  iic_store_id = "d-xxxx723xxx"
  iic_user_id = "0784ca78-xxxx-708b-9d18-6d0102dfxxxx"
  iic = boto3.client('identitystore')
  iic_user_info = iic.describe_user(
    IdentityStoreId = iic_store_id,
    UserId = iic_user_id
  )
  print('### TYPE:', type(iic_user_info))
  print('### PAYLOAD:', iic_user_info)

1. Lambdaレイヤーがない状態

この状態でサンプルコードを実行すると、以下のようになる。

START RequestId: 9d052994-24b9-4e54-b57f-228ab75723cd Version: $LATEST
### BOTO3: 1.20.32
### TYPE: <class 'dict'>
### PAYLOAD: {'UserName': 'motonari@xxxxxxxx.onmicrosoft.com', 'UserId': '0784ca78-xxxx-708b-9d18-6d0102dfxxxx', 'ResponseMetadata': {'RequestId': '6afa4d53-a01f-47d6-9a95-435e752f2405', 'HTTPStatusCode': 200, 'HTTPHeaders': {'date': 'Thu, 08 Dec 2022 03:49:44 GMT', 'content-type': 'application/x-amz-json-1.1', 'content-length': '584', 'connection': 'keep-alive', 'x-amzn-requestid': '6afa4d53-a01f-47d6-9a95-435e752f2405'}, 'RetryAttempts': 0}}
END RequestId: 9d052994-24b9-4e54-b57f-228ab75723cd
REPORT RequestId: 9d052994-24b9-4e54-b57f-228ab75723cd	Duration: 2046.43 ms	Billed Duration: 2047 ms	Memory Size: 128 MB	Max Memory Used: 64 MB	Init Duration: 265.78 ms

UserNameとUserIdしか返ってきていない。

2. boto3レイヤーの追加

こちらの手順に従って、boto3のLambdaレイヤーを追加する。なお、執筆時点でのboto3バージョンはboto3-1.26.24。自分はmacOSでzipを作成してレイヤーを作成した。

関数が以下のような状態になっていればOK。

3. 再度実行

この状態で再びサンプルコードを実行する。

START RequestId: 97d7de84-bf4b-41e3-9e5b-f10be588e35b Version: $LATEST
### BOTO3: 1.26.24
### TYPE: <class 'dict'>
### PAYLOAD: {'UserName': 'motonari@xxxxxxxx.onmicrosoft.com', 'UserId': '0784ca78-xxxx-708b-9d18-6d0102dfxxxx', 'ExternalIds': [{'Issuer': 'https://scim.aws.com/tEOd8ddb41f-4a20-46df-b043-7fcab8b06370', 'Id': 'c4aa9a84-6bf7-415f-99d8-c3c7c4ab1881'}], 'Name': {'Formatted': 'motonari mouri', 'FamilyName': 'mouri', 'GivenName': 'motonari'}, 'DisplayName': 'motonari', 'Emails': [{'Value': 'motonari@xxxxxxxx.onmicrosoft.com', 'Type': 'work', 'Primary': True}], 'Addresses': [{'Locality': 'Minato-ku', 'Region': 'Tokyo', 'Type': 'work'}], 'Title': 'Nagato-President', 'Timezone': 'Nagato', 'IdentityStoreId': 'd-9567723cfc', 'ResponseMetadata': {'RequestId': '5fbe9db7-a526-43bb-85fb-18c691f6dd53', 'HTTPStatusCode': 200, 'HTTPHeaders': {'date': 'Thu, 08 Dec 2022 03:59:38 GMT', 'content-type': 'application/x-amz-json-1.1', 'content-length': '584', 'connection': 'keep-alive', 'x-amzn-requestid': '5fbe9db7-a526-43bb-85fb-18c691f6dd53'}, 'RetryAttempts': 0}}
END RequestId: 97d7de84-bf4b-41e3-9e5b-f10be588e35b
REPORT RequestId: 97d7de84-bf4b-41e3-9e5b-f10be588e35b	Duration: 2401.74 ms	Billed Duration: 2402 ms	Memory Size: 128 MB	Max Memory Used: 66 MB	Init Duration: 538.50 ms

無事、全ての属性が返ってきた。

ハマリポイント

Lambdaレイヤーにはサポートされているパスが定められており、今回の場合はpythonフォルダの配下にboto3をインストールし、pythonフォルダごとパッケージングする必要がある。ここを間違えると、レイヤー自体を正しく設定してもboto3はLambdaランタイムのものが読まれてしまうので要注意。

なお余談だが、describe_user()は現時点ではIdentity Centerの全ユーザー属性を取ってくることができない（今回のケースでは、Departmentを取ってきたかったが非対応だった）。このため、Azure ADのSSOマッピング設定で、describe_user()がサポートしている属性にマッピングを変更する必要がある。
ここでは、TitleとDepartmentを結合してTitleにマッピングする方法を採り、目的の情報を得ている。