メインコンテンツへスキップ

Salesforce SSO時のMFA必須化に対するOneLoginの修正対応（7月10日更新）

AWS IAM Identity Center - SAML認証 × ユーザープロビジョニング

ペンティオ サポート担当者
  • 作成日
  • 更新日

本記事では、AWS Organizations によりアカウント管理をしている方を対象としたSAML連携設定手順をご紹介します。AWS SSOの設定を行うにはAWS Organizationsの組織作成及びアカウント追加が必要です。

本記事では、OneLogin から AWS IAM Identity Center へのSAML シングルサインオン（SSO）およびユーザープロビジョニングの設定手順をご案内します。OneLoginとAWSのSAML連携は、環境に応じて4つのシナリオが想定されます。どの方法を選択すべきかご不明な場合は、AWSのSAML連携を始める前に をご参照ください。

 

目次

 

前提条件

 

SAML連携の設定

1. OneLogin側の操作

  1. OneLoginに管理者でログインし、［管理］をクリックします
    OneLoginに管理者でログインし、管理をクリックします

     
  2. Applications メニューから［Applications］を選択します
    ApplicationsメニューからApplicationsを選択します

     
  3. ［Add App］をクリックします
    Add Appボタンをクリックします

     
  4. AWS Single Sign-on と検索し、該当コネクタを選択しますmceclip0.png

     
  5. ［Save］をクリックしますmceclip1.png

     
  6. More Actions > SAML Metadata を選択しますmceclip2.png

 

2. AWS側の設定（前半）

  1. AWS側の管理アカウント（旧マスターアカウント）にログインしますmceclip3.png

     
  2. IAM Identity Center (Single Sign-Onの後継サービス) を選択しますmceclip4.png

     
  3. IAM Identity Center を有効化 >［有効にする］をクリックしますmceclip5.png

     
  4. アイデンティティソースを選択 をクリックしますmceclip6.png

     
  5. アクション > アイデンティティソースを変更 を選択します
    mceclip7.png

     
  6. 外部 ID プロバイダー を選択し、［次へ］をクリックします
    mceclip8.png

     
  7. ［ファイルを選択］をクリックし、1. OneLogin側の操作 で取得した onelogin_metadata_xxxxxxx.xml を選択します
    mceclip9.png

     
  8. メタデータファイルがアップロードされたことを確認し、［次へ］をクリックします
    mceclip10.png

     
  9. 画面の指示に従い文字を入力し、［アイデンティティソースを変更］をクリックします
    mceclip11.png

     
  10. 設定 > 自動プロビジョニング >［有効にする］をクリックしますmceclip35.png

     
  11. アクセストークン > ［トークンを表示］をクリックします
    mceclip14.png

     
  12. SCIM エンドポイント と アクセストークン をクリップボードへコピーし、［閉じる］をクリックします
    mceclip13.png

     
  13. アクション > 認証の管理 を選択します
    mceclip15.png

     
  14. IAM Identity Center Assertion Consumer Service（ACS）のURL と IAM Identity Center の発行者 URL をクリップボードへコピーします
    mceclip16.png

 

3. OneLogin側の設定

  1. Configuration タブに移動し、2. AWS側の設定（前半）で取得した内容を以下の通りに設定します

    項目 入力値
    AWS SSO issuer URL 手順2.14 にてコピーした
    IAM Identity Center の発行者 URL
    AWS SSO ACS URL 手順2.14 にてコピーした IAM Identity Center Assertion Consumer Service（ACS）のURL
    SCIM Base URL 手順2.12 にてコピーした SCIM エンドポイント
    SCIM Bearer Token 手順2.12 にてコピーした アクセストークン

    mceclip17.png

     

  2. API Connection >［Enable］をクリックします
    mceclip19.png

     
  3. Enabled と表示されたことを確認し、［Save］をクリックします
    mceclip20.png

     
  4. SSO タブに移動し、SAML Signature Algorithm を SHA-265 に変更します
    mceclip3.png

     
  5. Access タブに移動し、割り当てたいユーザーが属するロールを選択しますmceclip0.png

     
  6. Provisioning タブに移動し、Enable provisioning にチェックを入れますmceclip1.png

     
  7. Require admin approval before this action is performed のチェックを全て外し、［Save］をクリックしますmceclip2.png

     
  8. More Actions > Reapply entitlement mappings を選択します
    mceclip4.png

     
  9. ［OK］をクリックし、ページを再読みしますmceclip22.png

     
  10. Users タブに移動し、Provisioning State が Provisioned に変更されたことを確認します
    mceclip5.png

     
  11. ユーザーが作成されていることを確認します
    mceclip7.png

 

グループのプロビジョニング

複数のユーザーをまとめてグループとして扱うことで、アクセス許可セットの設定を簡易化することができます。本章では、プロビジョニングによりAWS側にグループを作成し、ユーザーを追加する方法をご紹介します。

ここでは例として、AWS上にdevelopment,sales 2つのグループをプロビジョニングにより作成し、developmentに田中 太郎, salesに 山田 花子を追加します。※なお、グループ名は日本語・半角英数字どちらにも対応しています

  1. OneLoginで、AWS_{AWS上に作成したいグループの名前}というロールを作成します。今回は development, sales の2グループを作成するため、作成するロールはAWS_development,AWS_salesとなりますmceclip0.png

     
  2. 手順1で作成したロールにユーザーを割り当てます。今回は、田中 太郎に AWS_development、山田 花子にAWS_salesを割り当てますmceclip1.png

     
  3. Applicationsタブ > 作成したコネクタ に移動し、手順1で作成したAWS_development, AWS_sales ロールが割りあたっていることを確認します。
    mceclip2.png

     
  4. Parametersタブ > Optional ParametersでGroupsがDisabledになっていることを確認し、
    ［Disabled］をクリックしますmceclip4.png

     
  5. プロビジョニングにおいてGroupをParameterとして使用するためにInclude in User Provisioningにチェックを入れ、［Save］しますmceclip5.png

     
  6.  Groups が Enabled になっていることを確認しますmceclip6.png

     
  7. Rules タブ に移動し、［Add Rule］をクリックしますmceclip7.png

     
  8. New mappingというポップアップが表示されますので、各項目を設定します
    Name にて、Ruleの名前を設定します（例：AWS_groups）mceclip9.png

     
  9. Conditionsを設定します
    Conditions : Ruleを割り当てるユーザーの設定で、今回の場合は何も設定しません
    *Conditionsを設定しない場合はAccess権が付与された全ユーザーにRuleが適用されます。mceclip2.png

     
  10. Actionsを設定します
    Actionsでは、Conditionsで割り当てられたユーザーに対して行う処理を設定します。今回はGroupsを対象とするため、Set Groups in AWS Single SIgn-on を選択しますmceclip3.png


  11. Map from OneLogin にチェックを入れます。
    From Existing: AWS 側に存在するGroupにユーザーを作成します
    Map from OneLogin: 新たにGroup 及びユーザーを作成しますmceclip4.png

     
  12. For each 以降は、Conditionsで割り当てられたユーザーのどの要素に基づいてグループを作成するかを設定します
    今回はロールを使用するので、roleを選択しますmceclip5.png

     
  13. matches 以降は、正規表現を使用して作成するAWS側のグループ名を設定します。
    今回は、ロール名の AWS_ 以降（development,sales）をグループ名とするので、AWS_([^,]+)と指定し、［Update］をクリックします
    *AWS_([^,]+) と記入することにより、Conditionsで指定した2つのロール（AWS_development, AWS_sales）の、development, salesという部分を取り出しています。mceclip6.png

     
  14. Ruleが作成されたことを確認し、［Save］をクリックしますmceclip20.png

     
  15. More Actions > Reapply entitlement mappings を選択しますmceclip21.png

     
  16. ［OK］をクリックしますmceclip22.png

     
  17. ルートアカウントとしてAWSの管理アカウント（旧マスターアカウント）にログインし、IAM Identity Center > グループ にてグループが作成されます
    mceclip23.png

     
  18. グループにユーザーが所属されていれば完了です
    例）sales グループに山田 花子 さんが所属している
    mceclip1.png

 

4. AWS側の設定（後半）

1. アクセス許可セットの作成

  1. AWS側 の管理アカウント（旧マスターアカウント）にログインしますmceclip3.png

     
  2. IAM Identity Center (Single Sign-Onの後継サービス) を選択しますmceclip4.png

     
  3. マルチアカウント許可 > ［許可セット］を選択しますmceclip6.png

     
  4. ［許可セットを作成］をクリックしますmceclip7.png

     
  5. 許可セットタイプを選択します
    例）事前定義された許可セット
    mceclip8.png

     
  6. ポリシーを選択し、［次へ］をクリックします
    権限の詳細については、AWSサポートへお問い合わせください
    例）AdministratorAccess
    mceclip9.png

     
  7. 許可セット名を入力し、許可セットの詳細を設定した後［次へ］をクリックします
    mceclip10.png

     
  8. ［作成］をクリックしますmceclip11.png

     
  9. 許可セットが正常に作成されました と表示されれば完了です
    mceclip12.png

 

2. 作成したアクセス許可セットの割り当て

  1. マルチアカウント許可 > AWS アカウント を選択します
    mceclip13.png

     
  2. アクセスを許可するアカウントにチェックを入れ、［ユーザーまたはグループを割り当て］をクリックします
    例）Developper_Accountmceclip24.png

     
  3. アクセス権を割り当てる単位を選択します
    例）グループ
    mceclip27.png

     
  4. 対象とするグループあるいはユーザーにチェックを入れ、［次へ］をクリックします
    例）development グループを割り当てる
    mceclip25.png

     
  5. 割り当てる許可セットを選択し、［次へ］をクリックします mceclip28.png

     
  6. 内容を確認し、［送信］をクリックしますmceclip29.png

     
  7. AWS アカウントが正常に再プロビジョニングされ、更新された許可セットがアカウントに適用されました。 と表示されれば完了です
    mceclip30.png

 

SAML連携の設定は以上です。

 

SAML SSOの動作確認

  1. OneLoginに対象ユーザーでログインし、設定した AWS Single Sign-on を選択しますmceclip31.png

     
  2. アクセスするアカウントをクリックしますmceclip32.png

     
  3. 権限を確認し、［Management console］をクリックします
    mceclip33.png

     
  4. SAML認証が完了し、AWS IAM Identity CenterにSSOされることを確認しますmceclip0.png

 

SAML SSOの動作確認は以上です。

 

SAML SSOの無効化

  1. IAM Identity Centerに管理者でSSOし、アイデンティティソースを選択 をクリックします

     
  2. アクション > アイデンティティソースを変更 を選択します


     
  3. Identity Center ディレクトリ を選択します

 

SAML SSOの無効化は以上です。

運営会社: ペンティオ株式会社サービス利用規程

CONFIDENTIAL

当ウェブサイトに掲載されている情報は一般公開されているコンテンツを除き、当社の承諾なくご契約者様以外への開示・転送・転載することはできません