Okta

相互に信頼するように Okta と AWS アカウントを設定するには

1. Okta ユーザーが接続するための既存の Amazon Redshift クラスターを作成または使用します。接続を設定するには、クラスター識別子など、このクラスターの特定のプロパティが必要です。詳細については、「クラスターの作成」を参照してください。

2. Okta ポータルに新しいアプリケーションとして Amazon Redshift を追加します。詳細な手順については、Okta のドキュメントを参照してください。

   • アプリケーションの追加を選択します。

   • アプリケーションの追加で、新しいアプリの作成を選択します。

   • 新規追加のアプリケーション統合の作成 ページの プラットフォームで、ウェブを選択します。

   • サインオンメソッドで、SAML v2.0を選択します。

   • 一般設定 ページで、アプリ名に your-redshift-saml-sso-nameと入力します。これは、アプリケーションの名前です。

   • SAML 設定 ページの シングルサインオンの URLに your-redshift-local-host-urlと入力します。これは、SAML アサーションがリダイレクトするローカルホストとポート (例: http://localhost:7890/redshift/) です。

3. シングルサインオン URL 値を 受取人URL と 送信先 URLとして使用します。

4. [署名] には、[アサーションに署名] を選択します。

5. 対象 URI (SP エンティティ ID)に、次の表に示すように、クレームに対して urn:amazon:webservices を入力します。

6. [高度な設定] セクションの [SAML 発行者 ID] に、[セットアップ手順を表示] セクションに表示されている your-Identity-Provider-Issuer-ID を入力します。

7. 属性ステートメント セクションで、次の表に示すようにクレームを作成します。

   クレーム名	値
   https://aws.amazon.com/SAML/Attributes/Role	arn:aws:iam::123456789012:role/Okta,arn:aws:iam::123456789012:saml-provider/Okta
   https://aws.amazon.com/SAML/Attributes/RoleSessionName	user.email
   https://redshift.amazon.com/SAML/Attributes/AutoCreate	"true"
   https://redshift.amazon.com/SAML/Attributes/DbUser	user.email

8. App Embed Link セクションで、ブラウザ SAML プラグインのログイン URL として使用できる URL を見つけます。

9. IAM コンソールで、IAM SAML アイデンティティプロバイダーを作成します。指定したメタデータドキュメントは、Okta の設定時に保存したフェデレーションメタデータ XML ファイルです。詳細な手順については、「IAM ユーザーガイド」の「IAM ID プロバイダーを作成および管理する (コンソール)」を参照してください。

10. IAM コンソールで、SAML 2.0 フェデレーション用の IAM ロールを作成します。詳細なステップについては、「IAM ユーザーガイド」の「SAML 用のロールの作成」を参照してください。

11. IAM コンソールで SAML 2.0 フェデレーション用に作成した IAM ロールにアタッチできる IAM ポリシーを作成します。詳細な手順については、「IAM ユーザーガイド」の「IAM ポリシーの作成 (コンソール)」を参照してください。Azure AD の例については、「JDBC または ODBC シングルサインオン認証の設定」を参照してください。