はじめに

AWSには、IAM Identity Center (旧AWS SSO) というアカウント管理サービスがあります。一般的には複数のAWSアカウントを一元管理する目的で利用されますが、SAML SSOのIDプロバイダーとしても利用することが可能です。

今回は、IAM Identity CenterからSlackに対してSAML SSOする際の設定について以下にまとめてみました。

なお、後述しますが、一般的な（良く使われる）SAML SSO対応のIdP(IDaaS)と比べて、外部アプリケーションに対するサポートそれほど充実しているわけでありません。設定に当たっては、その点を理解のうえで進めていただければと思います。

設定手順

AWS側の設定

IAM Identity Centerの初期設定ならびに必要なユーザー・グループの追加は完了しているものとします。

１．IAM Identity Centerを開き、「アプリケーション」を選択します。

２．「アプリケーションを追加」をクリックします。

３．「カタログからアプリケーションを選択する」を選択し、「次」をクリックします。

４．「Slack」を選択し、「次」をクリックします。

５．「表示名」と「説明」を設定します。

６．アプリケーションメタデータを次の通り設定します。

アプリケーション ACS URL：https://.enterprise.slack.com/sso/saml
アプリケーション SAML 対象者：https://.enterprise.slack.com

なお、Orgのサブドメインは、お使いのSlack Enteprise GridのURLより確認ください。

７．「送信」をクリックします。

８．「ユーザーとグループを割り当てる」をクリックします。

９．追加したい（SlackへSAML SSOさせたい）ユーザーまたはを選択し、「ユーザーを割り当て」をクリックします。

１０．「設定を編集」をクリックします。

１１．「ステップバイステップの手順を表示」をクリックします。

１２．以下のようなページが表示されます。このページは開いたままとします。

Slack側の設定

１．「SSO 設定」をクリックします。

２．「SSOの設定を追加する」をクリックします。

３．以下を参考に設定を進め、最後に「テスト設定」をクリックします。

左側のウインドウは「AWS側の設定」の『手順１２』で開いたままとしているページです。このページ上の指定された内容をSlackの所定のフィールドにセットします。

エラーなくテストが完了すれば設定完了です。

補足

SCIMへの対応

IAM Identity Centerには、アプリケーションのSCIM連携のための機能が用意されていません。（外部IdP -> IAM Identity CenterのSCIM連携には対応していますが、IAM Identity Center -> 外部アプリに対するSCIM連携には対応していません）

IAM Identity Centerから外部アプリ（Slack）に対して、SCIM APIを用いたアカウントプロビジョニング・デプロビジョニングを行いたい場合は、SCIM連携機能を独自に実装いただく必要があります。

※SCIM連携のリストが必須である場合は、AWS IAM Identity Centerではなく、OktaやEntra IDなど別のIdP(IDaaS)を利用いただいた方が良いでしょう。

参考

IAM Identity Centerの「アプリケーション」を開き直すと、追加したはずのSlackの設定がない

IAM Identity Centerの「アプリケーション」を開き直すと、何も表示されない（追加したはずのSlackの設定がない）場合があります。

このような場合は「カスタマー管理」をクリックすることで、追加したSlackの設定を確認することができます。

参考