メインコンテンツへスキップ

Salesforce SSO時のMFA必須化に対するOneLoginの修正対応（7月10日更新）

AWS マルチアカウント - SAML認証

ペンティオ サポート担当者
  • 作成日
  • 更新日

本記事では、OneLogin から AWS へのSAML シングルサインオン（SSO）の設定手順をご案内します。

 

目次

 

前提条件

  • OneLoginのライセンスプラン が Professional または旧ライセンスプラン Unlimited のいずれかであること
  • OneLoginの Super User または Account Owner 権限を持つアカウントを所有していること
  • AWSの ルートユーザー 権限をお持ちであること

 

SAML連携の設定

1. OneLogin側の操作

  1. OneLoginに管理者でログインし、［管理］をクリックします
    OneLoginに管理者でログインし、管理をクリックします

     
  2. Applications メニューから［Applications］を選択します
    ApplicationsメニューからApplicationsを選択します

     
  3. ［Add App］をクリックします
    Add Appボタンをクリックします

     
  4. Amazon Web Services (AWS) Multi Account と検索し、該当コネクタを選択します
    onelogin-MA-4. png

     
  5. ［Save］をクリックします
    onelogin-MA-5. png

     
  6. More Actions > SAML Metadata を選択します
    onelogin-MA-6. png

     
  7. Configuration タブに移動し、トークンを生成 をクリックします
    onelogin-MA-7. png

     
  8. 生成された External ID をクリップボードへコピーします
    onelogin-MA-8. png

 

2. AWS側の設定

AWSプロバイダの作成

  1. AWSにルートユーザーでログインします
    AWS-1. png

     
  2. IAM > IDプロバイダー を開きます
    AWS-3. png

     
  3. ［プロバイダを追加］をクリックします
    AWS-4. png

     
  4. 任意の プロバイダ名 を入力します


     
  5. メタデータドキュメント >［ファイルを選択］をクリックし、1. OneLogin側の操作 で取得した onelogin_metadata_xxxxxxx.xml を選択後、［プロバイダを追加］をクリックします


     
  6. 追加したプロバイダを選択します


     
  7. 概要 > ARN をクリップボードへコピーします

 

SAML連携用のAWSロール作成

  1. アクセス管理 > ロール >［ロールの作成］をクリックします
    onelogin-MA-23. png

     

  2. 信頼されたエンティティの種類を選択、SAML 2.0 プロバイダを選択 を以下の通りに設定します 

    項目 入力値
    信頼されたエンティティの種類を選択 SAML 2. 0 フェデレーション
    SAML 2. 0 プロバイダを選択

    OneLogin（先ほど作成したプロバイダ）

    と

    ［プログラムによるアクセスと AWS マネジメントコンソールによるアクセスを許可する］にチェックを入れる

    AWS-9. png

     

  3. 任意の ポリシー を適宜作成し、［次のステップ: タグ］をクリックしますAWS-MA-4. png

     
  4. 任意の タグ を適宜追加し、［次のステップ: 確認］をクリックします
    AWS-MA-5. png

     
  5. 任意の ロール名 を入力し、［ロールの作成］をクリックします
    例）OneLogin_MultiAccount_SSO
    AWS-MA-6. png

 

外部アクセス用のAWSロール作成

  1. ［ポリシー］>［ポリシーの作成］をクリックします
    AWS-MA-9. png

     

  2. 以下の記述をJSONで貼り付けて、次のステップ をクリックします

    {
     "Version": "2012-10-17",
     "Statement": [
          {
               "Action": [
                    "iam:ListAccountAliases",
                    "iam:ListRoles"
               ],
               "Effect": "Allow",
               "Resource": "*"
          }
      ]
}

    AWS-MA-10. png

     

  3. 必要であればタグを追加し、次のステップ をクリックします
    AWS-MA-11. png

     
  4. ポリシーの 名前、説明（任意） を入力して［ポリシーの作成］をクリックします
    AWS-MA-12. png


     
  5. 次に、OneLoginからのアクセスを許可する外部ロールを作成します
    ［ロール］>［ロールの作成］をクリックします
    onelogin-MA-23. png


     

  6. アカウント ID、外部 ID を以下の通りに設定し、次のステップ をクリックします

    項目 入力値
    アカウント ID 842984801698
    外部 ID 1. OneLoginのSAML連携の設定（前半）の 手順6. で発行したトークンを貼り付ける

    AWS-MA-13. png

     

  7. アクセス権限ポリシーに先ほど作成したポリシーをアタッチして、 次のステップ をクリックします
    AWS-MA-14. png

     
  8. 必要であればタグを追加し、次のステップ をクリックします
    AWS-MA-15. png

     
  9. ロール名、ロールの説明 を記入して ロールの作成 をクリックします
    AWS-MA-16. png

 

3. OneLogin側の設定

  1. Configuration へ移動し、External Role Name, List of SAML Identity Providers を以下の通りに設定します

    項目 入力値
    External Role Name

    2-3. 外部アクセス用のAWSロール作成 で作成したロールの名前を入力する
    List of SAML Identity Providers 2-1. AWSプロバイダの作成の 手順7. でコピーしたARNの値を貼り付ける

    onelogin-MA-10. png

     

  2. Parameters に移動し、Role をクリックします
    onelogin-MA-14. png

     
  3. Include in User Provisioning にチェックを入れて保存します
    onelogin-MA-26. png

     
  4. Access タブに移動し、割り当てたいユーザーが属するロールを選択後、［Save］をクリックします
    onelogin-MA-19. png

     
  5. Provisioning > Workflowの Enable provisioning にチェックを入れて、一度［Save］をクリックして設定を保存します
    onelogin-MA-9. png

 

補足

  1. List of SAML Identity Providersに複数ロールを追加することにより、サインインできるアカウントを増やすことができます
    （ロールごとに改行を加えるようにしてください）
    onelogin-MA-Role-EX. png

     
  2. API Connection > Enable をクリックしてAPI接続を有効化します
    緑色で Enabled と表示されれば設定は完了ですonelogin-MA-11-2. png

    onelogin-MA-12-2. png

     
  3. Provisioning > Refresh をクリックし、AWS側で変更した情報を取得します
    onelogin-MA-13. png

     
  4. Rules > ［Add Rule］をクリックします
    onelogin-MA-17. png

     
  5. AWSのユーザーロールをOneLoginのパラメータをベースに設定することができます
    （例）MemberOf（ADの属性）に CN=AWS-Admin を含むユーザーに
    　　　OneLogin_MultiAccount_SSO（AWSで作成したロール）を割り当てる
    onelogin-MA-18. png

     
  6. Users タブに移動し、対象ユーザーの Pending をクリックします
    onelogin-MA-20. png

     
  7. ［Approve］をクリックし、プロビジョニングを承認します
    onelogin-MA-21. png

     
  8. Provisioning State が Provisioned に変化することを確認します
    onelogin-MA-22. png

 

SAML連携の設定は以上です。

 

SAML SSOの動作確認

  1. OneLoginに対象ユーザーでログインし、設定した Amazon Web Services (AWS) Multi Account を選択します


     
  2. SAML認証が完了し、AWSにSSOされることを確認します
    AWS-1. png

 

SAML SSOの動作確認は以上です。

 

SAML SSOの無効化

  1. AWSにルートユーザーでSSOします
    AWS-1. png

     
  2. IAM > IDプロバイダー を開きます
    AWS-3. png

     
  3. 2. AWS側の設定 で追加したプロバイダを選択します


     
  4. ［削除］をクリックします

 

SAML SSOの無効化は以上です。

関連記事

運営会社: ペンティオ株式会社サービス利用規程

CONFIDENTIAL

当ウェブサイトに掲載されている情報は一般公開されているコンテンツを除き、当社の承諾なくご契約者様以外への開示・転送・転載することはできません