翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

IAM と Amazon Quick Suite を使用した IdP フェデレーションの設定

AWS Identity and Access Management (IAM) ロールとリレーステート URL を使用して、SAML 2.0 に準拠する ID プロバイダー (IdP) を設定できます。このロールは、Amazon Quick Suite にアクセスするためのアクセス許可をユーザーに付与します。リレーステートは、 AWSによる認証に成功した後にユーザーが転送されるポータルです。

前提条件

SAML 2.0 接続を設定する前に、以下の操作を行います。

チュートリアルで説明 AWS マネジメントコンソール されているように にフェデレーションするセットアップを作成したら、チュートリアルで提供されているリレー状態を編集できます。これを行うには、以下のステップ 5 で説明する Amazon Quick Suite のリレー状態を使用します。

詳細については、以下のリソースを参照してください。

ステップ 1: で SAML プロバイダーを作成する AWS

SAML ID プロバイダーは、組織の IdP を に定義します AWS。設定には、IdP を利用して以前に生成したメタデータドキュメントを使用します。

ステップ 2: フェデレーティッドユーザーのアクセス許可 AWS を で設定する

次に、IAM と組織の IdP の間の信頼関係を確立する IAM ロールを作成します。このロールは、フェデレーションの目的で IdP をプリンシパル (信頼されたエンティティ) として識別します。このロールは、組織の IdP によって認証されたユーザーが Amazon Quick Suite にアクセスすることを許可されることも定義します。SAML IdP のロールの作成の詳細については、IAM ユーザーガイド の SAML 2.0 フェデレーション用のロールの作成を参照してください。

ロールを作成したら、インラインポリシーをロールにアタッチすることで、ロールのアクセス許可を Amazon Quick Suite のみに制限できます。次のポリシードキュメントのサンプルは、Amazon Quick Suite へのアクセスを提供します。このポリシーにより、ユーザーは Amazon Quick Suite にアクセスでき、作成者アカウントと閲覧者アカウントの両方を作成できます。

    {
    "Statement": [
        {
            "Action": [
                "quicksight:CreateUser"
            ],
            "Effect": "Allow",
            "Resource": [
                "arn:aws:quicksight::<YOUR_AWS_ACCOUNT_ID>:user/${aws:userid}"
            ]
        }
    ],
    "Version": "2012-10-17"		 	 	 
    }
    

Amazon Quick Suite へのアクセスを提供し、Amazon Quick Suite 管理者、作成者 (標準ユーザー）、およびリーダーを作成する機能を提供する場合は、次のポリシー例を使用できます。

    {
    "Statement": [
        {
            "Action": [
                "quicksight:CreateAdmin"
            ],
            "Effect": "Allow",
            "Resource": [
                "arn:aws:quicksight::<YOUR_AWS_ACCOUNT_ID>:user/${aws:userid}"
            ]
        }
    ],
    "Version": "2012-10-17"		 	 	 
    }
                

アカウントの詳細については、「」を参照してください AWS マネジメントコンソール。

SAML と IAM ポリシーまたはポリシーの設定後に、手動でユーザーを招待する必要はありません。ユーザーが Amazon Quick Suite を初めて開くと、ポリシーの最上位のアクセス許可を使用して自動的にプロビジョニングされます。たとえば、quicksight:CreateUser​ と quicksight:CreateReader​ 両方のアクセス権限がある場合、作成者としてプロビジョニングされます。また、quicksight:CreateAdmin​ へのアクセス権限もある場合は、管理者としてプロビジョニングされます。各アクセス権限レベルでは、同レベル以下のユーザーを作成できます。たとえば、作成者は別の作成者や閲覧者を追加できます。

手動で招待されたユーザーは、招待したユーザーに割り当てられたロールで作成されます。アクセス権限を付与するポリシーは不要です。

ステップ 3: SAML IdP を設定する

IAM ロールを作成したら、サービスプロバイダー AWS として に関する SAML IdP を更新します。更新のために、以下から saml-metadata.xml ファイルインストールします: https://signin.aws.amazon.com/static/saml-metadata.xml。

IdP メタデータを更新するには、IdP から提供される手順を参照してください。プロバイダーによっては、URL の入力を選択できる場合があります。この場合、IdP がお客様の代わりにファイルを取得してインストールします。また、URL からファイルをダウンロードし、ローカルファイルとして指定する必要があるプロバイダーもあります。

詳細については、IdP のドキュメントを参照してください。

ステップ 4: SAML 認証レスポンスのアサーションを作成する

次に、認証レスポンスの一部として IdP が SAML 属性 AWS として渡す情報を設定します。詳細については、IAM ユーザーガイドの認証レスポンスの SAML アサーションを設定するを参照してください。

ステップ 5: フェデレーションのリレーステートを設定する

最後に、Amazon Quick Suite リレーステート URL を指すようにフェデレーションのリレーステートを設定します。による認証が成功すると AWS、ユーザーは SAML 認証レスポンスのリレー状態として定義された Amazon Quick Suite に誘導されます。

Amazon Quick Suite のリレーステート URL は次のとおりです。

https://quicksight.aws.amazon.com