Azure AD認証でQuickSightにログインする

Azure AD認証でQuickSightへのログイン環境を構築した際の雑多なメモとなります。
また、番外編で Azure AD と IAM Identity Center の連携パターンも試してみました。

1. Azure AD 側の作業

Azure AD ユーザー、グループ作成

Azure AD エンタープライズアプリケーション作成 -> 構成情報出力

1. エンタープライズアプリケーションの作成
   

2. SSO の作成
   

SAML アプリケーションを選択し、基本的な SAML 構成 のリレー状態に https://quicksight.aws.amazon.com を設定

設定後、画面をリロードして設定内容が反映されていることを確認

1. フェデレーションメタデータのダウンロード
   

以降の作業は AWS こちら の作業が完了次第実施

各種Claimの作成

Role Claimの作成

以下、AWS で作成したロールとIdPのARNを設定する

arn:aws:iam::926381664530:role/QuickSightAdmin-AzureAD,arn:aws:iam::926381664530:saml-provider/AzureADforQuickSight

arn:aws:iam::926381664530:role/QuickSightAuthor-AzureAD,arn:aws:iam::926381664530:saml-provider/AzureADforQuickSight

arn:aws:iam::926381664530:role/QuickSightReader-AzureAD,arn:aws:iam::926381664530:saml-provider/AzureADforQuickSight

RoleSessionName Claim の作成

1. Choose Add new claim.
2. For Name, enter RoleSessionName.
3. For Namespace, enter https://aws.amazon.com/SAML/Attributes.
4. For Source, choose Transformation.
5. For Transformation, enter ExtractMailPrefix().
6. For Parameter 1, enter user.userprincipalname.

userprincipalname 属性から名前を抽出するには、ExtractMailPrefix() 関数を使用します。例えば、この関数はユーザ・プリンシパル名の値[e-mail] から名前joeを抽出します。IAMはRoleSessionNameを使用して、QuickSightにサインインするユーザのロールセッションIDを作成します。ロールセッションIDは、Role名とRoleSessionNameから構成され、Role/RoleSessionName形式となります。ユーザは、ロールセッションIDをユーザ名としてQuickSightに登録されます。

SAML_SUBJECT Claim の作成

ユーザー or グループ に対し claim を割り当てる

設定確認

[Option] 自動プロビジョニング (SCIM)

SCIM 用のポリシーとプログラムユーザーの作成

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
            "iam:ListRoles"
            ],
            "Resource": "*"
        }
    ]
}

2. AWS 側の作業

AWS IAM SAML IdP 登録

サマリページの ARN を控えておく
arn:aws:iam::926381664530:saml-provider/AzureADforQuickSight

自動プロビジョニング用 IAM ロール作成

以下、QuickSight 初回ログイン時に自動でQuickSight ユーザーをプロビジョニングするために3種類のロールを作成する

• QuickSight Admin
• QuickSight Author
• QuickSight Reader

IAM Policy / IAM Role の作成

こちら を参照し、3種類のポリシー作成し、ロール作成時にアタッチする。

完成後

Test

Division A
[e-mail]
[e-mail]
[e-mail]

Division B
[e-mail]
[e-mail]
[e-mail]

追加 QuickSight SP Initiated 連携

QuickSight の設定

• Status : ON
• IdP URL : 上で組み立てた URL を指定
• IdP redirect URL Parameter : RelayState を指定

番外編 AWS IAM Identity Center 経由での認証を構成してみる。

type AWS IAM Identity Center in the search box.

1. Azure AD SSO の設定
   

1. AWS IAM Identity Center SSO の設定
   拡張機能インストール
   

新しいウィンドウで再度アクセス

OKを押す

IAM Identity Center に遷移。（事前にAdmin 権限でログインしておく）

Yes をクリックしても自動でセットアップが始まらないので手動で入れていく。

設定 → アクション → アイデンティティソースを変更

外部 ID プロバイダー

メタデータファイル → Azure AD

AWS アクセスポータルのサインイン URL → サイオンURL in Azure
https://d-95677a1ecc.awsapps.com/start

Azure から DL したフェデレーションメタデータ(XML)ファイルをアップロード

次へ

やはり、このタイミングでAzureに戻り、メタデータをアップする。

こうなるので保存。

サイオンURLも修正

この状態で再度、フェデレーションメタデータをダウンロードしなおす。

マネコンに戻ってきて、アップデートされたメタデータをアップする。

確認画面で 承諾 と入れて、アイデンティディソースを変更

Azure 側で ユーザーとグループを割り当てる

Testする 撃沈

Identity Center 側で割当しないとダメか。
ってことで Identity Centerで 自動プロビジョニングを有効にしてみる。

SCIM エンドポイント と アクセストークン を控える
https://scim.ap-northeast-1.amazonaws.com/tEOf759056a-6cbf-4f7c-9d1b-46e52aacda00/scim/v2/

Azure に戻り プロビジョニングの設定をする

先程取得した、SCIM エンドポイントとアクセストークンを設定する

テスト接続して OK だったら保存する。

戻って、プロビジョニング開始

これにぶち当たる
https://docs.aws.amazon.com/ja_jp/singlesignon/latest/userguide/troubleshooting.html

性、名を入れる

プロビジョニングの停止・開始をすると

プロビジョニング成功！

参考

https://learn.microsoft.com/en-us/azure/active-directory/saas-apps/aws-single-sign-on-tutorial#configure-aws-iam-identity-center-sso
https://aws.amazon.com/jp/blogs/big-data/enabling-amazon-quicksight-federation-with-azure-ad/
https://qiita.com/itsuki3/items/3c9ddf27c4dfb7f0f9f7
https://qiita.com/sugimount-a/items/48e7fd23fc2565b4d2cb
https://qiita.com/sugimount-a/items/9fb1c7a204f372c2c95d

AD vs Azure AD