Voicy で SRE として昨年の6月に入社したので、やっと1年を過ぎました
今日は、saml2aws について少し書いていきたいと思います
AWSにGoogle Authでログイン
- AWSへのログインをする際、SAML2を利用して GoogleアカウントによるSSOが可能です
- Webの場合はよいですが、CLIを使用する場合はちょっと面倒な感じです
- CLIの場合、aws-google-authやsaml2awsを使用すると楽です
aws-google-authの場合
- 最近Googleログインの仕様が変更され、下記のようにログインができなくなっています
% aws-google-auth
Google Password: ぱすわーど入れる
Please visit the following URL to view your CAPTCHA: https://accounts.google.com/Captcha?v=2&ctoken=******
Captcha (case insensitive): きゃぷちゃに表示された文字列入れる
Something went wrong - Could not find SAML response, check your credentials or use --save-failure-html to debug.
- ブラウザのSAML応答を取ってくれば一応回避できます
- 最近更新されてないです（修正PRは出てるが、それでもエラーになる場合がある）
- うん、違うの探した方がいいなー
saml2awsの場合
- デフォルトモードだと同じく失敗します（saml2awsよお前もか！）
% saml2aws login
Using IdP Account default to access GoogleApps https://accounts.google.com/o/saml2/initsso?idpid=******&spid=1234567890&forceauthn=false
To use saved password just hit enter.
? Username GoogleWorkspaceめあどいれる
? Password ぱすわーどいれる
Authenticating as test@example.com ...
Error authenticating to IdP.: error loading first page: failed to build login form data: could not find any forms matching the provided IDs
- しかし、ブラウザモードという回避策があります
https://github.com/Versent/saml2aws/issues/1259
% SAML2AWS_IDP_PROVIDER=Browser saml2aws login --download-browser-driver
Using IdP Account default to access Browser https://accounts.google.com/o/saml2/initsso?idpid=******&spid=1234567890&forceauthn=false
To use saved password just hit enter.
? Username GoogleWorkspaceめあどいれる
? Password ぱすわーどいれる
Authenticating as test@example.com ...
INFO[0006] opening browser
URL="https://accounts.google.com/o/saml2/initsso?idpid=******&spid=1234567890&forceauthn=false" provider=browser
- ブラウザが立ち上がるので、メアド入れましょう
- 次は、パスワードです
- 最後はスマホ認証
- ログインできましたね
INFO[0008] waiting ... provider=browser
INFO[0038] saving storage state provider=browser
INFO[0038] Error saving storage stateopen /Users/hogehoge/.aws/saml2aws/storageState.json: no such file or directory provider=browser
INFO[0038] clean up browser provider=browser
Selected role: arn:aws:iam::1234567890:role/admin
Requesting AWS credentials using SAML assertion.
Logged in as: arn:aws:sts::1234567890:assumed-role/admin/test@example.com
Your new access key pair has been stored in the AWS configuration.
Note that it will expire at 2024-06-18 01:51:44 +0900 JST
To use this credential, call the AWS CLI with the --profile option
まとめ
- aws-google-auth は更新もないし微妙です
- saml2aws はブラウザモードで回避可能です
- とりあえず、saml2aws を使うかという感じです・・・
参照
https://github.com/cevoaustralia/aws-google-auth
https://github.com/Versent/saml2aws/
https://github.com/Versent/saml2aws/issues/1259
We're hiring
絶賛、エンジニア（だけではなく）募集してます
カジュアル面談もやっていますので、お待ちしています