Azure AD認証でQuickSightへのログイン環境を構築した際の雑多なメモとなります。
また、番外編で Azure AD と IAM Identity Center の連携パターンも試してみました。

1. Azure AD 側の作業

Azure AD ユーザー、グループ作成

Azure AD エンタープライズアプリケーション作成 -> 構成情報出力

エンタープライズアプリケーションの作成
SSO の作成

SAML アプリケーションを選択し、基本的な SAML 構成 のリレー状態に https://quicksight.aws.amazon.com を設定

設定後、画面をリロードして設定内容が反映されていることを確認

フェデレーションメタデータのダウンロード

以降の作業は AWS こちらの作業が完了次第実施

各種Claimの作成

Role Claimの作成

以下、AWS で作成したロールとIdPのARNを設定する

arn:aws:iam::926381664530:role/QuickSightAdmin-AzureAD,arn:aws:iam::926381664530:saml-provider/AzureADforQuickSight

arn:aws:iam::926381664530:role/QuickSightAuthor-AzureAD,arn:aws:iam::926381664530:saml-provider/AzureADforQuickSight

arn:aws:iam::926381664530:role/QuickSightReader-AzureAD,arn:aws:iam::926381664530:saml-provider/AzureADforQuickSight

RoleSessionName Claim の作成

Choose Add new claim.
For Name, enter RoleSessionName.
For Namespace, enter https://aws.amazon.com/SAML/Attributes.
For Source, choose Transformation.
For Transformation, enter ExtractMailPrefix().
For Parameter 1, enter user.userprincipalname.

userprincipalname 属性から名前を抽出するには、ExtractMailPrefix() 関数を使用します。例えば、この関数はユーザ・プリンシパル名の値joe@example.com から名前joeを抽出します。IAMはRoleSessionNameを使用して、QuickSightにサインインするユーザのロールセッションIDを作成します。ロールセッションIDは、Role名とRoleSessionNameから構成され、Role/RoleSessionName形式となります。ユーザは、ロールセッションIDをユーザ名としてQuickSightに登録されます。

SAML_SUBJECT Claim の作成

ユーザー or グループに対し claim を割り当てる

設定確認

[Option] 自動プロビジョニング (SCIM)

SCIM 用のポリシーとプログラムユーザーの作成

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
            "iam:ListRoles"
            ],
            "Resource": "*"
        }
    ]
}