Browser SSO OIDC 認証情報
Browser SSO OIDC は AWS IAM アイデンティティセンター で動作する認証プラグインです。プラグインは SSO OIDC で動的クライアント登録を実行し、デフォルトのブラウザで SSO 認可 URL を開き、ローカルコールバックサーバーを介して認可コードを受け取り、それを SSO アクセストークンと交換し、そのトークンを使用して一時的な AWS 認証情報を取得します。プラグインは PKCE フローで認可コードを使用します。
IAM アイデンティティセンターを有効にして使用するための情報については、「AWS IAM アイデンティティセンター ユーザーガイド」の「ステップ 1: IAM アイデンティティセンターを有効にする」を参照してください。
注記
このプラグインは、シングルユーザーデスクトップ環境向けに設計されています。Windows ターミナル サーバーやリモート デスクトップ サービスなどの共有環境では、システム管理者がユーザー間のセキュリティ境界を確立して維持する責任を負います。
認証情報プロバイダー
AWS へのリクエストの認証に使用される認証情報プロバイダー。このパラメータの値を BrowserSSOOIDC に設定します。
| パラメータ名 | エイリアス | パラメータタイプ | デフォルトの値 | 使用する値 |
|---|---|---|---|---|
| CredentialsProvider | AWSCredentialsProviderClass (廃止) | 必須 | なし | BrowserSSOOIDC |
IAM アイデンティティセンターの開始 URL
AWS アクセスポータルの URL。IAM アイデンティティセンターの RegisterClient API アクションは、この値を issuerUrl パラメータに使用します。
| パラメータ名 | エイリアス | パラメータタイプ | デフォルトの値 |
|---|---|---|---|
| SsoStartUrl | sso_oidc_start_url | 必須 | なし |
IAM アイデンティティセンターリージョン
IAM アイデンティティセンターが設定されている AWS リージョン。SSOOIDCClient および SSOClient は、この値を region パラメータに使用します。
| パラメータ名 | エイリアス | パラメータタイプ | デフォルトの値 |
|---|---|---|---|
| SsoOidcRegion | sso_oidc_region | 必須 | なし |
アカウント ID
ユーザーに割り当てられる AWS アカウント の識別子。IAM アイデンティティセンターの GetRoleCredentials API アクションは、この値を accountId パラメータに使用します。
| パラメータ名 | エイリアス | パラメータタイプ | デフォルトの値 |
|---|---|---|---|
| SsoOidcAccountId | sso_oidc_account_id | 必須 | なし |
ロール名
ユーザーに割り当てられているロールのわかりやすい名前。このアクセス許可セットに指定した名前は、使用可能なロールとして AWS アクセスポータルに表示されます。IAM アイデンティティセンターの GetRoleCredentials API アクションは、この値を roleName パラメータに使用します。
| パラメータ名 | エイリアス | パラメータタイプ | デフォルトの値 |
|---|---|---|---|
| SsoOidcRoleName | sso_oidc_role_name | 必須 | なし |
リッスンポート
OAuth 2.0 コールバックサーバーに使用するローカルポート番号。これはリダイレクト URI として使用されます。このポートをネットワークで許可リストに登録する必要がある場合があります。デフォルトで生成されるリダイレクト URI は http://127.0.0.1:7890/oauth/callback です。
警告
Windows ターミナルサーバーやリモートデスクトップサービスなどの共有環境では、ループバックポート（デフォルト：7890）は同一マシン上のすべてのユーザー間で共有されます。システム管理者は、潜在的なポートハイジャックリスクを以下の方法で軽減できます。
-
ユーザーグループごとに異なるポート番号を設定する
-
Windows セキュリティポリシーを使用してポートアクセスを制限する
-
ユーザーセッション間のネットワーク分離を実装する
| パラメータ名 | エイリアス | パラメータタイプ | デフォルトの値 |
|---|---|---|---|
| ListenPort | listen_port | オプションです。 | 7890 |
ID プロバイダーの応答タイムアウト
ドライバーが SSO 認証レスポンスの待機を停止するまでの時間 (秒単位)。最小値は 60 秒です。
| パラメータ名 | エイリアス | パラメータタイプ | デフォルトの値 |
|---|---|---|---|
| IdpResponseTimeout | idp_response_timeout | オプションです。 | 120 |
トークンキャッシュを有効にする
有効にすると、複数のドライバー接続にわたって同じ SSO アクセストークンの使用が許可されます。これにより、複数のドライバー接続を作成する SQL ツールによって複数のブラウザウィンドウが開かれることが防止されます。
| パラメータ名 | エイリアス | パラメータタイプ | デフォルトの値 |
|---|---|---|---|
| EnableTokenCaching | なし | オプションです。 | 誤 |
