Go to Qiita Advent Calendar 2024 Top
LoginSignup
2
0

Delete article

Deleted articles cannot be recovered.

Draft of this article would be also deleted.

Are you sure you want to delete this article?

@u-bayashi(システム屋 うさぎオーナー)

Amazon Connect のSSO(IAM Identity Center/SAML2.0)設定

Last updated at Posted at 2024-03-12

今回はAWSが提供しているマネージドコンタクトセンターサービスのAmazon Connectを同じくAWSサービスのIAM Identity Centerと連携させ、SSOできる環境の構築を行います。認証はSAML2.0を利用し、IdPはIAMで構築して利用するAWS内で完結するSSO環境となります。

今回のゴール

実現したい内容としては、IAM Identity Centerで1度ユーザ認証をすれば、AWS管理コンソールもAmazon connectにもアクセスできるという状態を作ることです。
今回のゴール.jpg

デフォルト状態（SSOしない）であれば
通常のログイン.jpg

こんな感じでAWS IAMのログイン画面とAmazon Connectログイン画面は別々となり、IDの管理もぞれぞれ別々となります。
運用例として、AmazonConnectのユーザを作成するために、AmazonConnectにAmazonConnectの管理者でログインする必要がありますがAWS IAMの管理者IDとは別IDのため、AmazonConnectの管理者PWの管理も必要になります。
ちゃんと管理していないとどっちの管理者IDがどのPWなのか分からなくなるという事態にもなりえます。

構成図

今回の設定を構成図にするとこんな感じになります。

構成図.jpg

前提条件+免責事項

  • Amazon Connectインスタンス、IAMロール、IdPなどは全て同一のAWSアカウント内で構築する
  • インスタンス利用料金が発生する
  • 認証方式はSAML2.0を利用する
  • IdPはAWS IAMから作成する
  • 本記事のスクショは2024年3月時点のUI画面のスクショ
  • Amazon Connect内の設定は本記事の範疇外（本記事はSSOでログインするところまで）
  • SSOで利用するIDはメールアドレス形式

用語解説

  • SSOとは?

シングルサインオン (SSO) は、ユーザーが 1 回限りのユーザー認証で複数のアプリケーションやウェブサイトにログインできるようにする認証ソリューションです。今日のユーザーはブラウザからアプリケーションに直接アクセスすることが多いため、組織はセキュリティとユーザーエクスペリエンスの両方を改善するアクセス管理戦略を優先しています。SSO は両方の側面を提供します。SSO では、ユーザーが本人であることが一度検証されると、ログインを繰り返さなくても、パスワードで保護されたすべてのリソースにアクセスできます。

【出典】https://aws.amazon.com/jp/what-is/sso/

  • IdPとは?

IdP(Identity Provider)は、その名前の通り、アイデンティティ（身元）を提供するプロバイダのことです。具体的には、ユーザーがあるオンラインサービス（例えば、ショッピングサイトやSNS）にログインする際、そのユーザーが「本当に主張している人物であるか」を確認し、その情報をサービス提供者（SP: Service Provider）に伝える役割を果たします。
例えば、オンラインショッピングでアカウントを作成する際、ユーザー名やパスワード、メールアドレスを設定し、この情報がユーザーの「アイデンティティ」となり、次回からはその情報でログインします。IdPは、このようなユーザー情報を一元管理し、さまざまなウェブサービスで利用できるようにしてくれるものです。

【出典】https://www.netattest.com/idp-2023_mkt_tst

  • SAMLとは?

SAML (Security Assertion Markup Language) は、アプリケーションが認証情報を SSO サービスと交換するために使用するプロトコルまたは一連のルールです。SAML は、ブラウザに適したマークアップ言語である XML を使用して、ユーザー識別データを交換します。SAMLベースの SSO サービスは、アプリケーションがユーザー認証情報をシステム内に保存する必要がないため、より優れたセキュリティと柔軟性を提供します。

【出典】https://aws.amazon.com/jp/what-is/sso/

設定の流れ

IAM Identity Centerの作成・有効化

AWS管理コンソールで「IAM Identity Center」を検索し、有効化します。

IIC有効化.jpg

有効化できたらIAM Identity Centerで作成したユーザからAWS管理コンソールにログインできるように左側の「マルチアカウントアクセス許可」から「AWSアカウント」をクリックし、管理コンソールへログインできるようにしたいAWSアカウントを選択します。

Amazon Conectインスタンスの作成

SSOでログインする先のAmazonConnectを作成していきます。AWS管理コンソールで「Amazon Connect」を検索し、通常のインスタンスを作成する手順とほぼ同じですがID管理のところで、「SAML2.0ベースの認証」を選択してください。アクセスURLのところは任意の値でOKです。

connect追加1.jpg

管理者の追加ですが今回はあとから作成するので、「管理者なし」を選択します。ここで事前に作成しておいても問題ないです。
コネクト管理者を追加.jpg

テレフォニー設定はデフォルトのままでOKです。
テレフォニー設定.jpg

データストレージ設定もデフォルトのままです。
データストレージ.jpg

しばらくするとインスタンスが作成され、ステータスがアクティブになると思います。

IAM Identity CenterでAmazon Conectのアプリケーション登録

次にIAM Identity Centerで作成したユーザからAmazon Connectにログインできるように左側「アプリケーションの割り当て」から「アプリケーション」をクリックします。
IIC有効化.jpg

「アプリケーションを追加」をクリックします。

アプリケーション追加.jpg

アプリケーションタイプの選択ですが、今回設定するAmazon ConnectはAWSのカタログの中にあるため「カタログからアプリケーションを選択する」を選びます。
アプリケーションタイプ.jpg

検索欄に「connect」と入力するとAmazon connectが出てくるので選択します。

カタログ.jpg

表示名や説明は任意の値を設定できますが今回はデフォルトのまま進めます。
表示名.jpg

メタデータの各種URLが表示されています。この中で一番上の「IAM Identity Center SAMLメタデータファイル」は設定に必要なのでDLして、保存しておきます。アプリケーションのプロパティの「リレー状態」に後ほど値を入力します。
メタデータ.jpg

アプリケーションACS URLとアプリケーションSAML対象者ですがデフォルトのままでOKです。
メタデータ入力.jpg

これでアプリケーション登録に必要な最低限の情報は入力できたので「送信」をクリックし、登録を行います。
登録後はこんな感じで「アプリケーションの表示名で入力した値」のものと「Custom SAML2.0 Application」の２つが出てきます。「Custom SAML2.0 Application」はステータスが「未完了」になりますがこのままで問題ないです。

アプリケーション登録後.jpg

アプリケーションが表示されていない場合は「AWS管理」と「カスタマー管理」のタブが別になっていますので、「カスタマー管理」の方を表示させましょう。

IAM でIdPの作成

続いてIdPを作成します。IAMで作成しますがIAM Identity Centerの画面左下に関連コンソールというリンクがありますのでそこからアクセスします。IAM管理画面のアクセス管理の中に「IDプロバイダ」があるのでクリックします。

IAMアクセス.jpg

「プロバイダを追加」をクリックします。
プロバイダヲ追加.jpg

プロバイダのタイプで「SAML」を選択します。プロバイダ名は任意の値（今回はConnectIAMIdentityCenterという名前にしています）を入力し、「メタデータドキュメント」で先ほどDLしておいた「IAM Identity Center SAMLメタデータファイル」をアップします。これで右下の「プロバイダを追加」をクリックすれば必要情報が登録されたプロバイダが作成されます。

プロバイダタイプ選択.jpg

IAMポリシー（2つ）、IAMロールの作成

次にポリシーとロールを作成します。IAMの画面で「ポリシー」をクリックし、「ポリシーの作成」で新しいポリシーを作成します。

どういうポリシーを作成するのか設定できる画面になるので「JSON」をクリックし、ポリシーエディタを開きます。
ポリシー作成.jpg

ポリシーエディタの部分に以下の内容を記入します。インデントのずれや変なところに改行があるとエラーになるので気を付けましょう。

#以下をコピペ
{
"Version": "2012-10-17",
"Statement": [
    {
        "Sid": "Statement1",
        "Effect": "Allow",
        "Action": "connect:GetFederationToken",
        "Resource": [
            "<connect instance ARN>/user/${aws:userid}"
        ]
    }
]
}

コピペしたコードの中で、<connect instance ARN> は実際の値を入れる必要があります。
connect instance ARNですがAmazonConnectの管理サイトに記載があります。

ARN.jpg

ポリシー名ですが「ConnectIAM-Indetity-Center-Policy」にしています。

上記のポリシー作成後ですがこんな感じになります。
ポリシー作成後.jpg

同じ要領でもう１つポリシー作成します。ポリシーエディタの部分に以下の内容を記入します。

{
"Version": "2012-10-17",
"Statement": [
    {
        "Effect": "Allow",
        "Action": [
            "iam:ListRoles",
            "iam:ListAccountAliases"
        ],
        "Resource": "*"
    }
]
}

ちなみにポリシー名ですが「identitycenter_cli_policy」にしています。
上記のポリシー作成後ですがこんな感じになります。

別ポリシー.jpg

ポリシーができたので、今度はロールを作っていきます。

IAM管理画面のアクセス管理の中に「ロール」があるのでクリックします。
右上の「ロール作成」をクリックし、以下内容で設定します。

  • 信頼されたエンティティタイプは「SAML2.0フェデレーション」を選択

  • SAML2.0ベースのプロバイダーで、先ほど作成したIdPを選択

  • 許可されるアクセスで「プログラムとAWSマネジメントコンソールへのアクセスを許可する」を選択
    ロール作成.jpg

  • 許可ポリシーで先ほど作成した2つのポリシーを選択
    ロール名は任意のものを設定します。今回は「ConnectIAM-Identity-Center」にしています。

これでロールを作成するとこんな感じになります。
ロール作成２.jpg

Amazon Conectのアプリケーション登録内容の変更

先に作成しておいたAmazon Connectの設定内容を変更していきます。アプリケーションが表示されていない場合は「AWS管理」と「カスタマー管理」のタブが別になっており、「カスタマー管理」の方を表示させましょう。登録したアプリケーションを選択し、「アクション」から「設定を編集」をクリックします。
アプリのプロパティ.jpg

アプリケーションのプロパティの「リレー状態」の箇所に以下パラメータを入力します。

https://リージョン ID .console.aws.amazon.com/connect/federate/インスタンス ID

アプリのプロパティ.jpg

「リージョン ID」と「インスタンス ID」は環境によって変わりますので変更してください。
ちなみに東京リージョンだと「リージョン ID」はap-northeast-1になります。「インスタンス ID」はAmazonConnectのARNの中の”:instance/”以降の英数字です。

アプリケーションの設定編集はこれでOKです。

続いて「属性マッピングを変更」を行っていきます。

属性マッピング.jpg

上記画像のように以下２つの属性マッピングを追加します。

1つ目はユーザ属性=「https://aws.amazon.com/SAML/Attributes/RoleSessionName」に、形式を「${user: email}」にします。

もう1つはユーザ属性を「https://aws.amazon.com/SAML/Attributes/Role」に、形式に「IAMroleのARN,IAM IdPのARN」を記入します。

【形式の記入例】
arn:aws:iam::xxxxxxxxx:role/ConnectIAM-Identity-Center,arn:aws:iam::xxxxxxxxxx:saml-provider/ConnectIAMIdentityCenter

これでSSOする環境設定はできました。

IAM Identity Centerでユーザ作成

ここから実際にSSOする際に利用するユーザを作成していきます。まずはIAM Identity Center側でユーザを作成します。
IIC-ユーザ作成.jpg

ひと通り必要な情報を埋めて、ユーザを作成します。今回はユーザ作成後の認証をメールで送付するので、受信できるメールアドレスを設定してください。またこのメールアドレスは次に作成するAmazonConnect側ユーザと合わせる必要があります。

ICC-UserCreate.jpg

Amazon Connectでユーザ作成

AmazonConnectの管理コンソールで「Access URL」横のEmergency accessのURLからログインしてユーザを作成します。※AmazonConnectのインスタンス作成時に管理者を作成している場合は通常のAccess URLからのログインでもOKです。
AccessURL.jpg

ログイン後にAmazon Connect側でも先ほどIAM Identity Center側で作成したユーザと同じ情報でユーザを作成します。「ログイン」の値はメールアドレス形式で記載してください。
connect-user.jpg

AWSコンソールへのアクセス許可

最後にIAM Identity Centerの左側の「AWSマルチアカウントのアクセス許可」でそのAWSアカウントに、どういう権限でアクセスを許可するのか設定しましょう。ここはOrganizationで子アカウントにロールを設定する感じで進めてもらえればOKです。

IIC有効化.jpg

SSOログイン動作試験

これでSSO設定とユーザ作成が完了したので、実際に１回の認証でAmazonConnectまでログインできるかやってみましょう。

認証画面のアクセスURLは以下画像の右下にAWSアクセスポータルのURLと記載されているところになります。
IIC有効化.jpg

Amazon connect独自のログイン前認証画面が出てこずに以下のAmazon connectの設定画面にアクセスできてばOKです。
AWS SSO設定.jpg

参照にしたサイト

↑サイト表示がおかしいときがありますが、何度か更新すると治ります

2024年4月4日追記(アプリケーション追加できない問題)

Organizationに参加しているアカウントの場合、IAM Identity Centerの「アプリケーションの割り当て」で「アプリケーションを追加」ボタンが出てこない場合があります。これはOrganizationの親アカウントによって制限されているためです。

アプリケーションの追加が出てこない.PNG

制限解除のために、今回設定しようとしているアカウントの親アカウント側のIAM Identity Centerで委任管理者に当該アカウントを指定してやる必要があります。一番下の「委任された管理者を登録」からアカウントを指定してやりましょう。
委任管理者の設定.PNG

委任管理者として設定されるとこんな感じで登録されます。
委任管理者の設定後.PNG

おわりに

参考にしたサイトは2つともAWS公式のサイトです。ただ設定が必要な箇所が異なったり、片方のサイトには記載がないポリシーがあったり、公式のトラップが仕掛けられています...試される設定力、それがAWSにおけるSSO構築です！

2
0
1

Register as a new user and use Qiita more conveniently

  1. You get articles that match your needs
  2. You can efficiently read back useful information
  3. You can use dark theme
What you can do with signing up
Sign upLogin
2
0

Delete article

Deleted articles cannot be recovered.

Draft of this article would be also deleted.

Are you sure you want to delete this article?