IAM Identity Center の使用

適用先: Enterprise Edition と Standard Edition

対象者: システム管理者と Amazon Quick 管理者

Amazon Quick Enterprise Edition は、Microsoft Active Directory または Security Assertion Markup Language (SAML) を使用したシングルサインオン (IAM Identity Center) を使用して、既存のディレクトリと統合されます。 AWS Identity and Access Management (IAM) を使用してセキュリティをさらに強化したり、ダッシュボードの埋め込みなどのカスタムオプションに使用したりできます。

Quick Standard Edition では、Quick 内でユーザーを完全に管理できます。必要に応じて、IAM の既存のユーザー、グループ、ロールと統合することができます。

Amazon Quick のアイデンティティとアクセスには、次のツールを使用できます。

IAM アイデンティティセンター(エンタープライズ版のみ)
IAM フェデレーション (Standard Editionと Enterprise Edition)
AWS Directory Service for Microsoft Active Directory (Enterprise Edition のみ)
SAML ベースのシングルサインオン (Standard Edition および Enterprise Edition)
多要素認証 (MFA) (Standard Edition および Enterprise Edition)

注記

以下に示すリージョンでは、Amazon Quick アカウントは ID とアクセスの管理にのみ IAM アイデンティティセンターを使用できます。

af-south-1 アフリカ (ケープタウン)
ap-southeast-3 アジアパシフィック (ジャカルタ)
ap-southeast-5 アジアパシフィック (マレーシア)
eu-south-1 欧州 (ミラノ)
eu-south-2 欧州 (スペイン)
eu-central-2 欧州 (チューリッヒ)
il-central-1 イスラエル (テルアビブ)
me-central-1 中東 (アラブ首長国連邦)

IAM Identity Center は、ワークフォース ID を安全に作成または接続し、 AWS アカウントとアプリケーション間のアクセスを管理するのに役立ちます。

Amazon Quick アカウントを IAM アイデンティティセンターと統合する前に、アカウントに AWS IAM アイデンティティセンターを設定します。 AWS 組織で IAM Identity Center を設定していない場合は、「ユーザーガイド」の「開始方法」を参照してください。 AWS IAM アイデンティティセンター

IAM アイデンティティセンターで外部 ID プロバイダを構成する場合は、「サポートされる ID プロバイダ」を参照して、サポートされる ID プロバイダの構成手順のリストを表示します。

トピック

IAM Identity Center で Amazon Quick アカウントを設定する

IAM Identity Center で Amazon Quick アカウントを設定する

適用先: Enterprise Edition

対象者: システム管理者

IAM Identity Center は、既存のワークフォース ID を安全に作成または設定し、 AWS アカウントとアプリケーション間のアクセスを管理するのに役立ちます。IAM アイデンティティセンターは、規模や種類を問わず、 AWS における従業員の認証と認可に推奨されるアプローチです。IAM Identity Center の詳細については、「AWS IAM アイデンティティセンター」を参照してください。

IAM アイデンティティセンターが設定した ID ソースを使用して新しい Amazon Quick アカウントにサインアップできるように、Amazon Quick と IAM アイデンティティセンターを設定します。IAM アイデンティティセンターでは、外部 ID プロバイダーをアイデンティティーソースとして設定できます。Amazon Quick でサードパーティーの ID プロバイダーを使用しない場合は、IAM Identity Center を ID ストアとして使用することもできます。ID メソッドは、アカウントの作成後に変更することはできません。

Amazon Quick アカウントを IAM Identity Center と統合すると、Amazon Quick アカウント管理者は、ID プロバイダーのグループを自動的に利用できる新しい Amazon Quick アカウントを作成できます。これにより、Amazon Quick での大規模なアセット共有が簡素化されます。

Amazon Quick 管理コンソールの一部のセクションへのアクセスは、IAM アクセス許可によって制限されます。次の表は、選択したアクセスタイプに基づいて Amazon Quick で実行できる管理者アクションをまとめたものです。

IAM アイデンティティセンターで Amazon Quick アカウントにサインアップする方法の詳細については、「Amazon Quick サブスクリプションにサインアップする」を参照してください。

次の表に、管理者アクションと、IAM アクセス許可が必要かどうかを示します。

管理者アクション	必要な IAM アクセス許可
アカウント設定	はい
アセットの管理	はい
Amazon Q	はい
サブスクリプションの管理	いいえ
SPICE 容量	いいえ
インデックス容量	はい
ユーザーを管理する (表示)	いいえ
ユーザーを管理する > ロールグループ	はい
ドメインの管理	いいえ
モバイル設定	いいえ
IP/VPC の制限を管理する	はい
VPC 接続の管理	はい
OAuth クライアントアプリケーションの管理	はい
KMS キー	はい
AWS リソース	はい
デフォルトのアクセスポリシー	はい
IAM ポリシーの割り当て	はい
AWS actions	はい
拡張機能アクセス	はい
カスタムアクセス許可	はい
SageMaker を設定する	はい
ブランドカスタマイズ	はい
エージェントのカスタマイズ	はい
E メールのカスタマイズ	はい
クイック使用状況メトリクス	はい

Amazon Quick 管理者ロールがある場合は、IAM アクセス許可を必要としないアクションを実行できます。IAM アクセス許可を必要とするアクションを実行するには、適切なアクセスquicksight:*許可を持つ IAM プリンシパル AWS マネジメントコンソールとしてにサインインします。Amazon Quick API を使用してプログラムでいくつかの管理者アクションを実行することもできます。使用可能な API オペレーションのリストについては、「Amazon Quick API Reference」を参照してください。

IAM Identity Center マルチリージョンで Amazon Quick をセットアップする

Amazon Quick Enterprise サブスクリプションは、IAM Identity Center インスタンスの追加リージョンとして設定された、サポートされている AWS リージョンで作成できます。ターゲットリージョンエンドポイントCreateAccountSubscriptionに対してを呼び出すと、そのリージョンは Quick default 名前空間の容量リージョンになります。

この手順は、IAM Identity Center 認証方法にのみ適用されます。2 番目のクイックサブスクリプションを作成したり、既存のクイックサブスクリプションをレプリケートしたりすることはありません。各は 1 つのクイックアカウントサブスクリプション AWS アカウントをサポートしています。

リージョンの概念

以下のリージョンタイプは、この手順に関連しています。

IAM Identity Center プライマリリージョン – IAM Identity Center インスタンスが最初に作成されたリージョン。
IAM アイデンティティセンターの追加リージョン – IAM アイデンティティセンターインスタンスがレプリケートされ、アクティブになるリージョン。
クイックキャパシティーリージョン – クイックデフォルト名前空間がプロビジョニングされるリージョン。これは、を呼び出すエンドポイントリージョンによって決まりますCreateAccountSubscription。

前提条件

詳細な手順については、「 AWS IAM アイデンティティセンターユーザーガイド」の「マルチリージョン IAM アイデンティティセンター」および「追加のリージョンへのレプリケート」を参照してください。

追加のリージョンでクイックサブスクリプションを作成する前に、表示された順序で次の手順を実行します。

プライマリリージョンの IAM Identity Center インスタンスにマルチリージョンのカスタマーマネージド KMS キーを設定します。
ターゲットリージョンにカスタマーマネージド KMS キーのレプリカを作成します。
ターゲットリージョンを IAM アイデンティティセンターに追加し、リージョンのステータスがになるまで待ちますACTIVE。
組織が外部 ID プロバイダーを使用している場合は、ターゲットリージョンのアサーションコンシューマーサービス (ACS) URL を ID プロバイダー設定に追加します。詳細については、「 AWS IAM アイデンティティセンターユーザーガイド」の「マルチリージョンワークフォースアクセス」を参照してください。
ターゲットリージョンがサポートされているクイックサインアップリージョンであることを確認します。サポートされているリージョンのリストについては「Amazon Quick AWS リージョンでサポート」を参照してください。

追加のリージョンでサブスクリプションを作成するには

AWS Command Line Interface または AWS SDK を使用して、ターゲットリージョンに Amazon Quick Enterprise サブスクリプションを作成します。

サブスクリプションを作成するには (AWS CLI)

ターゲットリージョンを使用する AWS CLI ようにを設定します。設定されたリージョンによってCreateAccountSubscriptionエンドポイントが決まります。
以下のコマンドを実行してください。プレースホルダの値を、独自の値に置き換えてください。
```
aws quicksight create-account-subscription \
    --aws-account-id <ACCOUNT_ID> \
    --account-name "<ACCOUNT_NAME>" \
    --notification-email <EMAIL> \
    --edition ENTERPRISE \
    --authentication-method IAM_IDENTITY_CENTER \
    --iam-identity-center-instance-arn <IDC_INSTANCE_ARN> \
    --admin-group "<ADMIN_GROUP_NAME>" \
    --region <TARGET_REGION>
```
次のリストでは、必須パラメータと推奨パラメータについて説明します。
- --aws-account-id – 12 桁の AWS アカウント ID。
- --account-name – クイックアカウントの名前。
- --notification-email – サービス通知の E メールアドレス。
- --edition ENTERPRISE – IAM Identity Center 認証には Enterprise Edition が必要です。
- --authentication-method IAM_IDENTITY_CENTER – 認証方法として IAM アイデンティティセンターを指定します。
- --iam-identity-center-instance-arn – IAM Identity Center インスタンスの ARN。
- --admin-group または --admin-pro-group – クイック管理者として割り当てる IAM Identity Center グループの名前。
- --region – クイックキャパシティーリージョンのターゲットリージョン。これは、アクティブな IAM アイデンティティセンターの追加リージョンとサポートされているクイックサインアップリージョンである必要があります。

サブスクリプションを検証する

コマンドが完了したら、サブスクリプションが存在し、アクティブであることを確認します。

サブスクリプションを確認するには (AWS CLI)

次のコマンドを実行して、アカウントのステータスを確認します。
```
aws quicksight describe-account-subscription \
    --aws-account-id <ACCOUNT_ID> \
    --region <TARGET_REGION>
```
AccountSubscriptionStatus がであることを確認しますACCOUNT_CREATED。
次のコマンドを実行して、名前空間とキャパシティーリージョンを確認します。
```
aws quicksight list-namespaces \
    --aws-account-id <ACCOUNT_ID> \
    --region <TARGET_REGION>
```
CreationStatus が CREATEDであり、がターゲットリージョンCapacityRegionと一致することを確認します。

考慮事項

次の考慮事項を確認してください。

IAM アイデンティティセンター認証には Amazon Quick Enterprise Edition を使用する必要があります。
IAM Identity Center 認証--admin-pro-groupを使用する場合は、 --admin-groupまたはを指定する必要があります。
アクティブな IAM アイデンティティセンターの追加リージョンとサポートされているクイックサインアップリージョンの両方であるターゲットリージョンを選択する必要があります。
ごとに作成できるクイックアカウントサブスクリプションは 1 つだけです AWS アカウント。アカウントにすでにサブスクリプションがある場合、はリソースが存在するエラーCreateAccountSubscriptionを返します。
クイックアカウントの作成後に認証方法を変更することはできません。

考慮事項

元に戻せないアクション

次のアクションにより、すべてのユーザーが Amazon Quick アカウントにサインインできなくなります。これらのアクションを元に戻すことはできません。

IAM Identity Center コンソールで Amazon Quick アプリケーションを無効化または削除します。Amazon Quick アカウントを削除する場合は、「Amazon Quick アカウントの閉鎖」を参照してください。
IAM Identity Center 設定を含む Amazon Quick アカウントを、Amazon Quick アカウントが設定されている IAM Identity Center インスタンスを含まない AWS Organization に移行します。
Amazon Quick アカウントに設定された IAM Identity Center インスタンスを削除します。
IAM Identity Center アプリケーション属性 (requires assignment 属性など) を編集する。

ブラウザで JavaScript が無効になっているか、使用できません。

AWS ドキュメントを使用するには、JavaScript を有効にする必要があります。手順については、使用するブラウザのヘルプページを参照してください。

ドキュメントの表記規則

トラブルシューティング

IAM フェデレーション