翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

Quick Suite でフェデレーティッドユーザーの E メール同期を設定する

Amazon Quick Suite Enterprise Edition では、管理者として、ID プロバイダー (IdP) を介して Quick Suite に直接プロビジョニングするときに、新しいユーザーが個人の E メールアドレスを使用することを制限できます。次に、Quick Suite は、アカウントに新しいユーザーをプロビジョニングするときに IdP を介して渡される事前設定された E メールアドレスを使用します。例えば、IdP を介してユーザーが Amazon Quick Suite アカウントにプロビジョニングされたときに、企業に割り当てられた E メールアドレスのみが使用されるようにすることができます。

Amazon Quick Suite でフェデレーティッドユーザーの E メール同期を設定すると、Amazon Quick Suite アカウントに初めてログインするユーザーに E メールアドレスが事前に割り当てられます。これらのアドレスは、ユーザーのアカウントの登録に使用されます。この方法では、ユーザーはメールアドレスを入力することで手動でバイパスすることができる。また、管理者が指定したメールアドレスと異なるメールアドレスを使用することはできません。

Amazon Quick Suite は、SAML または OpenID Connect (OIDC) 認証をサポートする IdP を介したプロビジョニングをサポートしています。IdP 経由でのプロビジョニング時における新規ユーザー用の E メールアドレスを設定するには、新規ユーザーが AssumeRoleWithSAML または AssumeRoleWithWebIdentity で使用する IAM ロールの信頼関係を更新します。その後、新規ユーザーの IdP に SAML 属性または OIDC トークンを追加します。最後に、Amazon Quick Suite でフェデレーティッドユーザーの E メール同期を有効にします。

以下の手順では、これらのステップが詳しく説明されています。

ステップ 1: AssumeRoleWithSAML または AssumeRoleWithWebIdentity で IAM ロールの信頼関係を更新する

IdP を介して Amazon Quick Suite にプロビジョニングするときに使用する E メールアドレスを設定できます。これを行うには、AssumeRoleWithSAML または AssumeRoleWithWebIdentity で使用する IAM ロールの信頼関係に sts:TagSession アクションを追加します。そうすることで、ユーザーがロールを引き受けるときに principal タグを渡すことができます。

以下は、IdP が Okta である更新済みの IAM ロールの例です。この例を使用するには、サービスプロバイダー用の Amazon リソースネーム (ARN) で Federated ARN を更新します。赤の項目は、 AWS および IdP サービス固有の情報に置き換えることができます。

{
    "Version": "2012-10-17"		 	 	 ,
    "Statement": [
    {
        "Effect": "Allow",
        "Principal": {
        "Federated": "arn:aws:iam::account-id:saml-provider/Okta"
        },
        "Action": "sts:AssumeRoleWithSAML",
        "Condition": {
        "StringEquals": {
            "SAML:aud": "https://signin.aws.amazon.com/saml"
        }
        }
    },
    {
        "Effect": "Allow",
        "Principal": {
        "Federated": "arn:aws:iam::account-id:saml-provider/Okta"
        },
        "Action": "sts:TagSession",
        "Condition": {
        "StringLike": {
            "aws:RequestTag/Email": "*"
        }
        }
    }
    ]
    }

ステップ 2: IdP の IAM プリンシパルタグに SAML 属性または OIDC トークンを追加する

上記の説明どおりに IAM ロールの信頼関係を更新したら、IdP の IAM Principal タグに SAML 属性または OIDC トークンを追加します。

以下は、SAML 属性と OIDC トークンの例です。これらの例を使用するには、E メールアドレスを、ユーザーの E メールアドレスをポイントする IdP 内の変数に置き換えてください。赤色で強調表示されている項目は、独自の情報に置き換えることができます。

ステップ 3: Amazon Quick Suite でフェデレーティッドユーザーの E メール同期を有効にする

上記の説明どおり、IAM ロールの信頼関係を更新して、IdP の IAM Principal タグに SAML 属性または OIDC トークンを追加します。次に、次の手順で説明するように、Amazon Quick Suite でフェデレーティッドユーザーの E メール同期を有効にします。