AWS Organizations構成でEntra IDによるSSOを有効化する

AWS Organizationsを構成しているAWSアカウントをEntra IDでSSO(シングル・サイン・オン)する設定方法をメモしておきます。

1.AWS IAM Identity Center¶

Step.1-1¶

IAM Identity Centerはリージョナルサービスである為、まず最初にリージョンを選択します。通常は最もよく利用するであろう、地理的に近いリージョンを選択します。IAM Identity Centerで「有効にする」をクリックします。

Step.1-2¶

「単一リージョンインスタンス」を選択し、「有効にする」をクリックします。

Step.1-3¶

「設定」をクリックします。

Step.1-4¶

「アクション → アイデンティティソースを変更」をクリックします。

Step.1-5¶

「外部IDプロパイダー」を選択し、「次へ」をクリックします。

Step.1-6¶

「メタデータファイルをダウンロード」をクリックします。XMLファイルがダウンロードされます。次の工程で利用するので保存しておきます。

2.Microsoft Entra ID¶

Step.2-1¶

Azure Portalへログインし、「Microsoft Entra ID」をクリックします。

Step.2-2¶

「追加 → エンタープライズアプリケーション」をクリックします。

Step.2-3¶

「AWS IAM」というキーワードで検索すると「AWS IAM Identity Center」というテンプレートが表示されます。これをクリックします。

Step.2-4¶

任意の名前を割り当てたら「作成」をクリックします。

Step.2-5¶

「2.シングルサインオンの設定」をクリックします。

Step.2-6¶

「SAML」をクリックします。

Step.2-7¶

「メタデータファイルをアップロードする」をクリックします。

Step.2-8¶

AWS IAM Identity Centerからダウンロードしたメタデータファイル(XMLファイル)を選択し、「追加」をクリックします。

Step.2-9¶

メタデータファイルの内容が追加され、結果のプレビューが表示されます。「保存」をクリックします。

Step.2-10¶

フェデレーションメタデータXMLの「ダウンロード」をクリックします。XMLファイルがダウンロードされます。

3.AWS IAM Identity Center¶

Step.3-1¶

IdP SAMLメタデータの「ファイルを選択」をクリックし、Entra ID上のエンタープライズアプリケーションからダウンロードしたフェデレーションメタデータXMLを指定します。

Step.3-2¶

XMLファイルがアップロードされました。「次へ」をクリックします。

Step.3-3¶

テキストフィールドに「承諾」と入力し、「アイデンティティソースを変更」をクリックします。

Step.3-4¶

これで外部アイデンティティソースとしてEntra IDが指定されました。「設定」をクリックします。

Step.3-5¶

自動プロビジョニングの「有効にする」をクリックします。

Step.3-6¶

「トークンを表示」をクリックします。

Step.3-7¶

後の工程で利用する為、「SCIMエンドポイント」と「アクセストークン」をコピーしておきます。「閉じる」をクリックします。

4.Microsoft Entra ID¶

Step.4-1¶

AWSへSSOさせたい対象ユーザ/グループに応じて、以下を適切に設定します。

SSOさせる範囲	設定する値
Entra ID上の全ユーザ	エンタープライズアプリケーションのプロパティで「割り当てが必要ですか？」を「いいえ」に設定する
Entra ID上の特定ユーザ or グループ	エンタープライズアプリケーションの「ユーザとグループ」から対象ユーザを選択する

Step.4-2¶

エンタープライズアプリケーションの「プロビジョニング」から「アプリケーションの接続」をクリックします。

Step.4-3¶

「はい」をクリックします。

Step.4-4¶

「Step.3-7」で表示された情報を以下をのように入力し、「作成」をクリックします。

項目	入力する値
テナントのURL	AWS IAM Identity Centerの「SCIMエンドポイント」
シークレットトークン	AWS IAM Identity Centerの「アクセストークン」