ステップ 1: で OIDC アプリケーションを作成する Microsoft Entra ID ステップ 2: Amazon Quick 管理コンソールに拡張機能アクセスを追加するステップ 3: Amazon Quick コンソールで拡張機能を作成するステップ 4: デスクトップアプリケーションをダウンロード、検証、配布する

for Microsoft Entra ID Amazon Quick on Desktop でエンタープライズサインインを設定する

適用先: Enterprise Edition

対象者: システム管理者

このページでは、でエンタープライズサインインを設定する 4 つのステップをすべて説明しますMicrosoft Entra ID。

で OIDC アプリケーションを作成しMicrosoft Entra ID、その値を記録します。
Amazon Quick 管理コンソールに拡張機能アクセスを追加します。
Amazon Quick コンソールで拡張機能を作成します。
デスクトップアプリケーションをダウンロード、検証、配布します。

注記

開始する前に、「」の前提条件を確認してくださいエンタープライズデプロイ用のデスクトップでの Amazon Quick のセットアップ。

ステップ 1: で OIDC アプリケーションを作成する Microsoft Entra ID

パブリック OIDC クライアントアプリケーションをに登録しますMicrosoft Entra ID。Amazon Quick デスクトップアプリケーションは、このクライアントを使用して、PKCE による認可コードフローを通じてユーザーを認証します。このクライアントにはクライアントシークレットは必要ありません。offline_access スコープを付与して、アプリケーションが更新トークンを発行できるようにします。これがないと、ユーザーは頻繁に再認証する必要があります。

詳細については、 Microsoft Entraドキュメントの「アプリケーションの登録」を参照してください。

Entra ID アプリ登録を作成するには

Azure ポータルで、 Microsoft Entra ID → アプリ登録 → 新規登録に移動します。

次の設定を行います。

設定	値
名前	`Amazon Quick Desktop`
サポートされているアカウントタイプ	この組織ディレクトリ内のアカウントのみ (単一テナント)
リダイレクト URI プラットフォーム	パブリッククライアント/ネイティブ (モバイルとデスクトップ)
リダイレクト URI	`http://localhost:18080`

[登録] を選択します。
概要ページで、アプリケーション (クライアント) ID とディレクトリ (テナント) ID を書き留めます。これらの値は、後のステップで必要になります。

これはパブリッククライアント登録です。はパブリッククライアントに自動的に PKCE Entra ID を適用します。

API アクセス許可を設定するには

アプリ登録で、API アクセス許可 → アクセス許可の追加 → Microsoft Graph 委任アクセス許可に移動します。
次のアクセス許可を追加します: openid、email、profile、offline_access。
[Add permissions (許可の追加)] を選択します。
組織で必要な場合は、[組織] の管理者同意を付与を選択します。

認証設定を構成するには

アプリ登録で、認証に移動します。
詳細設定で、パブリッククライアントフローを許可するを「はい」に設定します。
http://localhost:18080 がモバイルアプリケーションとデスクトップアプリケーションにリストされていることを確認します。
[保存] を選択します。

トークンクレームを設定するには

アプリ登録で、トークン設定に移動します。
オプションクレームの追加 を選択します。
トークンタイプ ID を選択します。
email クレームを選択し、追加を選択します。

重要

このステップは必須です。email オプションのクレームがない場合、 Microsoft Entra IDはユーザーの E メールアドレスを ID トークンに含めず、Amazon Quick はトークンをユーザーにマッピングできません。さらに、サインインする各ユーザーは、Entra IDプロファイル (連絡先情報の下) に Mail 属性を入力する必要があります。ユーザープリンシパル名 (UPN) だけでは不十分です。Mail 属性には値が含まれている必要があります。

次の OIDC エンドポイントを記録します。これらの値は、ステップ 2 で前に書き留めたアプリケーション (クライアント) ID とともに入力します。をディレクトリ (テナント) ID <TENANT_ID>に置き換えます。

重要

発行者 URL には/v2.0パスサフィックスを含める必要があります。Entra ID Endpoints パネルに表示される権限 URL を使用しないでください。このサフィックスは省略されます。/v2.0 サフィックスがない場合、トークンの検証はサインイン時に「無効な発行者」エラーで失敗します。

フィールド	値
クライアント ID	アプリケーション登録の概要ページのアプリケーション (クライアント) ID
発行者 URL	`https://login.microsoftonline.com/<TENANT_ID>/v2.0`
認可エンドポイント	`https://login.microsoftonline.com/<TENANT_ID>/oauth2/v2.0/authorize`
トークンエンドポイント	`https://login.microsoftonline.com/<TENANT_ID>/oauth2/v2.0/token`
JWKS URI	`https://login.microsoftonline.com/<TENANT_ID>/discovery/v2.0/keys`

ヒント

JWKS URI はMicrosoft Entra IDエンドポイントパネルに表示されません。これは、エンドポイントパネルから OpenID Connect メタデータドキュメント URL を開き、JSON レスポンスで jwks_uriフィールドを見つけることで確認できます。または、前の表に示す形式を使用して構築します。

重要

クレームマッピング機能のためにアプリケーションにカスタム署名キーがある場合は、アプリケーション (クライアント) ID を含むappidクエリパラメータを JWKS URI に追加する必要があります。そうしないと、デフォルトのキーエンドポイントがアプリケーションのカスタム署名キーを返さないため、トークンの検証は失敗します。例えば、次のようになります。

https://login.microsoftonline.com/<TENANT_ID>/discovery/v2.0/keys?appid=<CLIENT_ID>

正しい値を確認するには、同じappidパラメータ (https://login.microsoftonline.com/<TENANT_ID>/.well-known/openid-configuration?appid=<CLIENT_ID>) が付加された OpenID Connect メタデータドキュメントを開き、jwks_uri返されたを使用します。詳細については、 Microsoft Entraドキュメントの「署名の検証」を参照してください。

ステップ 2: Amazon Quick 管理コンソールに拡張機能アクセスを追加する

Amazon Quick 管理コンソールで、ステップ 1 で記録した OIDC エンドポイント値とクライアント ID を使用して拡張機能アクセスを追加します。

拡張機能アクセスを追加するには

Amazon Quick 管理コンソールにサインインし、アカウントの管理を選択します。
左側のナビゲーションペインのアクセス許可で、拡張機能アクセスを選択します。
拡張機能アクセスの追加 を選択します。
「サービスの選択」で、Amazon Quick (クイック用デスクトップアプリケーション) を選択し、「次へ」を選択します。

ステップ 1 で記録した値を使用して、拡張機能の詳細を入力します。

フィールド	値
名前	この拡張機能アクセスの名前 (例: `QuickDesktop-access`)。これは内部参照のみであり、IdP では設定されていません。英数字とハイフンのみを使用し、スペースは使用しません。
説明	(オプション) 参照のみを目的として、この拡張機能アクセスの説明。
発行者 URL	必要なパスサフィックスを含む、ステップ 1 の正確な OIDC 発行者 URL。
認可エンドポイント	ステップ 1 の OIDC 認可エンドポイント URL
トークンエンドポイント	ステップ 1 の OIDC トークンエンドポイント URL
JWKS URI	ステップ 1 の JSON ウェブキーセット URI
クライアント ID	ステップ 1 で記録した OIDC クライアント識別子 (クライアント ID またはアプリケーション (クライアント) ID)。必須。

[Add] (追加) を選択します。

重要
追加を選択する前に、すべての値が正しいことを確認します。拡張機能アクセス設定は、作成後に編集することはできません。値が正しくない場合は、拡張機能アクセスを削除して新しい値を作成する必要があります。

ステップ 3: Amazon Quick コンソールで拡張機能を作成する

Amazon Quick 管理コンソールで拡張機能アクセスを追加したら、Amazon Quick コンソールの拡張機能ページで拡張機能を作成します。

拡張機能を作成するには

Amazon Quick コンソールの左側のナビゲーションペインで、拡張機能を選択します。拡張機能が表示されない場合は、詳細を選択して検索します。
拡張機能の追加 を選択します。
ステップ 2 で作成したクイック拡張機能アクセス用のデスクトップアプリケーションを選択し、次へを選択します。
[作成] を選択します。

重要

ステップ 2 とステップ 3 の両方が必要です。拡張機能アクセスを追加しても拡張機能を作成しない場合、エンタープライズサインインは使用できず、ユーザーには「クイックデスクトップのエンタープライズサインインはこのアカウントに設定されていません」というエラーが表示されます。

注記

拡張機能の作成は、アカウントレベルの 1 回限りのアクションです。管理者が拡張機能を作成すると、アカウント内のすべてのユーザーがエンタープライズサインインを使用できます。個々のユーザーは、拡張機能を自分で有効にする必要はありません。デスクトップアプリケーションをダウンロードしてサインインするだけで済みます。

ステップ 4: デスクトップアプリケーションをダウンロード、検証、配布する

このステップでは、デスクトップアプリケーションをダウンロードしてインストールし、エンタープライズサインインが機能することを確認し、アプリケーションをユーザーに配布します。

まず、Amazon Quick コンソールからアプリケーションをダウンロードします。

デスクトップアプリケーションをダウンロードするには

Amazon Quick コンソールの左側のナビゲーションペインで、拡張機能を選択します。拡張機能が表示されない場合は、詳細を選択して検索します。
ステップ 3 で作成したクイックデスクトップ拡張機能を選択します。
拡張機能のその他のオプションアイコン (...) を選択します。
オペレーティングシステムに応じて、Windows の場合は Download、Mac の場合は Download を選択します。

次に、アプリケーションをインストールします。インストール手順については、「はじめに」を参照してください。

アプリケーションをインストールしたら、エンタープライズサインインが機能することを確認します。

エンタープライズサインインを確認するには

Amazon Quick デスクトップアプリケーションを開きます。
サインイン画面で、「SSO で続行」を選択します。
(オプション) AWS リージョンリストからを選択するか、動的を選択して、アプリケーションがリージョンを自動的に検出するようにします。
会社の認証情報を使用して認証します。アプリケーションは ID プロバイダーにリダイレクトされ、認証が成功するとホーム画面に戻ります。

ヒント

サインインに失敗した場合は、ステップ 2 で入力した値をステップ 1 の OIDC エンドポイントとクライアント ID と照合します。値が正しくない場合は、Amazon Quick 管理コンソールのアクセス許可 → 拡張機能アクセスで拡張機能アクセスを削除し、正しい値でステップ 2 を繰り返します。詳細については、「」を参照してくださいデスクトップでの Amazon Quick のエンタープライズサインインのトラブルシューティング。

最後に、セットアップを確認したら、アプリケーションをユーザーに配布します。ダウンロード、インストール、サインインの手順はじめにについては、「」を参照してください。ユーザーは SSO で続行を選択し、会社の認証情報を使用してサインインします。ユーザーごとの追加の設定は必要ありません。

ブラウザで JavaScript が無効になっているか、使用できません。

AWS ドキュメントを使用するには、JavaScript を有効にする必要があります。手順については、使用するブラウザのヘルプページを参照してください。

ドキュメントの表記規則

エンタープライズセットアップ

Google Workspace