View a markdown version of this page

調達システム統合の SSO の有効化 - AWS Marketplace
前提条件調達システム統合の SSO の仕組みステップ 1: IAM Identity Center アクセスポータル URL を検索するステップ 2: idc_url パラメータをパンチアウトサプライヤー URL に追加するステップ 3: (オプション) コンソールに直接アクセスするためのリレー状態を設定する要件と制限トラブルシューティング

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

調達システム統合の SSO の有効化

IAM Identity Center アクセスポータル URL をパンチアウト設定のクエリパラメータとして渡すことで、 AWS Marketplace 調達システム統合のシングルサインオン (SSO) を有効にできます。有効にすると、調達システム AWS Marketplace 経由で にアクセスするユーザーは、標準の AWS サインインページではなく、組織の SSO ログインページに自動的にリダイレクトされます。

注記

この SSO 設定は、Okta、Microsoft Entra ID、組み込み IAM Identity Center ディレクトリなど、IAM Identity Center でサポートされている ID プロバイダーと互換性があります。

前提条件

調達システム統合の SSO を有効にする前に、以下が必要です。

  • アクティブな調達システム統合 AWS Marketplace。セットアップ手順については、Coupa と統合 AWS Marketplace するように を設定する「」または「」を参照してくださいSAP Ariba と統合 AWS Marketplace するための の設定。

  • アクセスポータル URL を持つ IAM Identity Center インスタンス。セットアップ手順については、IAM Identity Center ユーザーガイドの「IAM Identity Center の有効化」を参照してください。

  • アクセスするユーザーは、適切なアクセス許可セットを使用して IAM Identity Center でプロビジョニング AWS Marketplace する必要があります。詳細については、「 IAM Identity Center ユーザーガイド」の「権限セット」を参照してください。ユーザープロビジョニングについてご質問がある場合は、IAM または ID チームにお問い合わせください。

  • パンチアウトサプライヤー URL を変更するための調達システム (Coupa または SAP Ariba) への管理アクセス。

調達システム統合の SSO の仕組み

調達システム統合用に SSO を設定すると、認証フローは次のようになります。

  1. 調達システムのユーザーがパンチアウトセッションを開始します。調達システムは、cXML PunchOutSetupRequest とともに idc_urlパラメータを送信します。

  2. AWS Marketplace は idc_urlパラメータを読み取り、標準サインインページの代わりに IAM Identity Center アクセスポータル URL AWS にユーザーをリダイレクトします。

  3. ユーザーは組織の ID プロバイダーを通じて認証します。これは、多要素認証 (MFA) 要件など、組織の標準認証ポリシーに従います。

  4. 認証後、IAM Identity Center はセッショントークンを発行し、ユーザーは AWS Marketplace パンチアウトセッションにリダイレクトされて製品を参照してリクエストします。

ステップ 1: IAM Identity Center アクセスポータル URL を検索する

IAM Identity Center アクセスポータル URL を見つけるには、次の手順に従います。

IAM Identity Center アクセスポータル URL を検索するには

  1. https://console.aws.amazon.com/singlesignon/ で IAM アイデンティティセンターのコンソールを開きます。

  2. ナビゲーションペインで [設定] を選択します。

  3. ID ソースタブで、AWS アクセスポータル URL を見つけます。

  4. この URL をコピーします。

アクセスポータル URL は次の例のようになります。

https://d-1234567890.awsapps.com/start

詳細については、IAM Identity Center ユーザーガイドの「AWS アクセスポータル URL のカスタマイズ」を参照してください。

ステップ 2: idc_url パラメータをパンチアウトサプライヤー URL に追加する

調達システム (Coupa または SAP Ariba) で、 AWS Marketplace パンチアウトサプライヤー URL にidc_urlクエリパラメータを追加します。idc_url 値は、IAM Identity Center インスタンスのアクセスポータル URL です。

例:

https://eprocurement.marketplace.us-east-1.amazonaws.com/v1/punchout/setup?idc_url=https://d-1234567890.awsapps.com/start

ステップ 3: (オプション) コンソールに直接アクセスするためのリレー状態を設定する

SSO 認証後にユーザーが特定の AWS コンソールページにアクセスできるようにする場合は、IAM Identity Center アクセス許可セットでリレー状態を設定します。リレーステートがないと、ユーザーは認証後に AWS マネジメントコンソールに移動します。

リレー状態の設定はオプションですが、強くお勧めします。

リレー状態を設定するには

  1. https://console.aws.amazon.com/singlesignon/ で IAM アイデンティティセンターのコンソールを開きます。

  2. [マルチアカウント権限] で、[権限セット] を選択します。

  3. 調達ユーザーが使用するアクセス許可セットを選択します。

  4. [編集] を選択します。

  5. リレー状態で、次のように入力します。 https://console.aws.amazon.com/marketplace

  6. [Save changes] (変更の保存) をクリックします。

詳細については、IAM Identity Center ユーザーガイドの「AWS マネジメントコンソールにすばやくアクセスするためのリレー状態の設定」を参照してください。

要件と制限

SSO の要件と制限
要件 詳細
パラメータはオプションです idc_url パラメータを省略すると、ユーザーは標準の AWS サインインページを表示します。
ドメイン検証なし AWS Marketplace は、 idc_urlパラメータでドメインを検証しません。調達管理者は、正しい IAM Identity Center アクセスポータル URL を提供する責任があります。
サポートされている ID プロバイダー Okta、Microsoft Entra ID、組み込み IAM Identity Center ディレクトリなど、IAM Identity Center でサポートされている ID プロバイダー。

トラブルシューティング

次の表に、一般的な問題とその解決策を示します。

SSO のトラブルシューティング
問題 原因 解像度
ユーザーには標準の AWS サインインページが表示されます idc_url パラメータがないか、正しく保存されていません。 サプライヤー URL に が含まれていることを確認し?idc_url=<your-url>、変更が保存されていることを確認します。
SSO ページがロードされるが認証は失敗する IAM アイデンティティセンター URL が正しくないか、ユーザーがプロビジョニングされていません。 アクセスポータル URL をブラウザで直接開いて確認します。ユーザーが IAM Identity Center でプロビジョニングされていることを確認します。
セッション中に再度サインインするよう求められたユーザー IAM Identity Center セッションの期間がパンチアウトセッションよりも短い。 IAM Identity Center の「設定、認証」でセッション期間設定を確認します。