はじめに
IAM Identity CenterにGoogle Workspaceからログインするようにしてみたいと思います。
元々IAM Identity Centerには、標準のログイン画面から２要素認証のMFAを使ってログインしていたのですが、ログイン操作を減らしたいのと、スマホからのログインが面倒なので統合してみることにしました。
なお今回は、IAM Identity Centerの設定が完了している状態がからの紹介です。
IAM Identity Centerの設定自体は以下の記事を参照ください！
早速、やってみた
早速実施してみます。
なお公式手順は以下に記載されています。
Google管理コンソースからSAMLアプリケーションの設定
まずは、Google管理コンソール（admin.google.com）からSAMLアプリケーションの設定をしていきます。
ウェブアプリとモバイルアプリを選択し、
アプリを追加→アプリを追加を選びます。
Amazon Web Serviceを入力すると、出てくるアプリを選択します。
オプションが２つあり、どちらでも良いのですが、今回はメタデータをダウンロードでメタファイル（GoogleIDPMetadata.xml）をダウンロードしておきます。
ここで一旦、AWSの設定を行います。（画面はそのまま。）
IAM Identity Centerからアイデンティティソースの変更
次にIAM Identity Centerの設定のアイデンティティソースからアクション→アイデンティティソースの変更を選択します。
外部IDプロバイダーを選択します。
画面上部のIAM Identity Center Assertion Consumer Service (ACS) の URLと、IAM Identity Center 発行者 URLを控えつつ、Idp SAML メタデータのところで、先ほどダウンロードしたメタファイルをアップロードします。
アップロード後は、アイデンティティソースを変更を選択し、完了です。
Google管理コンソースからSAMLアプリケーションの設定（続き）
先ほど控えた、IAM Identity Center Assertion Consumer Service (ACS) の URLと、IAM Identity Center 発行者 URLを入力します。
またユーザを一意に認識する名前IDは、メールアドレスにしました。
EMAIL、Basic Information->Primary emailを選択します。
引き続き属性のマッピングです。ここらは任意に入力しました。
で、完了。
ユーザアクセス
次にGoogle側のアカウントの誰がこのSAMLを利用できるかを設定します。
ユーザアクセス内、詳細を表示を選択し、
オン（すべてのユーザー）を設定します。
今回は私一人しか使わないので全てのアカウントに権限を付与していますが、アクセス権は適切に設定お願いします！
自動プロビジョニングの設置
GoogleとAWS側のアカウントを自動で連携してくれる自動プロビジョニングの設定をしておきます。
設定することで、Google側でアカウントが追加されると自動でAWS側にもユーザが作られるようになります。
AWS側の画面から自動プロビジョニングを有効にするを選択します。
この画面でSCIMエンドポイントと、トークンを表示から表示されるトークンを控えておきます。
次にGoogle側の画面に戻り、自動プロビジョニングを設定を選択します。
先ほど控えたトークンを入力します。
次にSCIMエンドポイントを入力します。
属性のマッピングを任意に設定します。
ここは省略
アカウント削除、停止の挙動も設定します。
で、完了です！
AWSアカウントの紐付け
最後にGoogle側のアカウントとAWSのアカウントの紐付けをします。
設定後、しばらく待つとAWSのユーザにGoogleアカウントのユーザが反映されています。
（作成者がSCIMとなっているユーザです。）
なお、SCIMは「System for Cross-domain Identity Management」の略で、異なるシステム間でユーザーアカウント情報を自動的に同期・管理するための標準プロトコルのことみたいです。
対象のSCIMユーザを選択し、アカウントを割り当てるを選択します。
アカウントの紐付けや権限セットを選択し、割り当てるを選択します。
で、完了です！
動作確認
最後にIAM Identity CenterのAWS access portal URLにアクセスすると、以下のGoogle側の画面に遷移するので、ここでGoogleアカウントにログインすれば完了です！
最後に
少し初期設定が大変ですが、ログインがとっても楽になりました！
パスワードやMFAの管理が少し減るのでおすすめです！