OCI アイデンティティ・ドメインを使用してAWSにログインする

ブログ

Oracle Cloud

2024.07.22

皆さま、こんにちは！y.takanashiです。

いよいよ夏本番となり、暑い日々が続いていますね...！

今回は、以下のドキュメントを基にOCIのアイデンティティ・ドメインの情報を使用して認証を行い、AWSにSSOを行う方法についてご紹介します。

作業手順

最初にOCI側でSSO用アプリを作成します。

OCIコンソール画面左上のハンバーガーメニューから「アイデンティティとセキュリティ」→アイデンティティ内の「ドメイン」を選択します。

任意のドメイン(ここでは「OracleIdentityCloudService」)を選択します。

「統合アプリケーション」から「アプリケーションの追加」を選択します。

「SAMLアプリケーション」→「ワークフローの起動」をそれぞれ選択します。

以下の項目の入力を行い、「終了」を選択します。

名前：任意(ここでは「AWS App」)
表示設定
- 「自分のアプリケーションに表示」：有効
- 「ユーザーにアクセス権のリクエストを許可」：有効
認証と認可
- 権限付与を認可として実施：有効
一般
- エンティティID：https://signin.aws.amazon.com/saml
- アサーション・コンシューマのURL：https://signin.aws.amazon.com/saml
- 名前IDフォーマット：永続
- 名前IDの値：プライマリ電子メール
追加構成
- 署名付きSSO：アサーション
- 署名ハッシュ・アルゴリズム：SHA-256
- シングル・ログアウトの有効化：無効
- 暗号化されたアサーションが必要：無効

作成後は非アクティブ状態となっており、「アクティブ化」から起動を行います。

作成したSSO用アプリがアクティブ状態となります。

SSO構成の「アイデンティティ・プロバイダ・メタデータのダウンロード」を選択して、メタデータのダウンロードを行います。

※メタデータは作業手順「AWS - IDプロバイダとロールを作成」時に使用します。

OCI側でSSO用のアプリを作成後、AWS側でIDプロバイダとロールの設定を行います。

AWSの「サービス」から、「セキュリティ、ID、およびコンプライアンス」→「IAM」をそれぞれ選択します。

「IDプロバイダ」から「プロバイダを追加」を選択します。

以下の項目を入力、「プロバイダを追加」を選択します。

作成後にプロバイダを選択、プロバイダのARNをコピーします。

※ARNは作業手順「OCI - 属性の追加」で使用します。

プロバイダの作成後、ロールの作成も行います。

「ロール」から「ロールを作成」を選択します。

以下の項目を入力、「次へ」を選択します。

信頼されたエンティティタイプ：SAML 2.0 フェデレーション
SAML 2.0 ベースのプロバイダー：作成したプロバイダを選択(ここでは「OCI_IdentityDomain 」)
許可されるアクセス：プログラムと AWS マネジメントコンソールへのアクセスを許可する
※「プログラムによるアクセスのみを許可する」を選択する場合、リソースの読み取り権限のみ付与されます。

続いて、SSOを行うユーザーに付与するポリシーを指定し、「次へ」を選択します。

ここでは管理者権限を付与したいため、「AdministratorAccess」にチェックを入れます。

ロール名に任意のロール名(ここでは「OCI_IdentityDomain」) を入力、「ロールの作成」を選択します。

作成後にロールを選択、ロールのARNをコピーします。

※プロバイダと同様に作業手順「OCI - 属性の追加」で使用します。

AWSでプロバイダとロールの設定を行った後、OCI側で作成したSSO用アプリに「属性」としてAWSのプロバイダとロールの情報を付与します。

作成したアプリの「SSO構成の編集」を選択します。

属性構成内の「+ 追加属性」から以下の項目を入力後、「変更の保存」を選択します。

属性1
- 名前：https://aws.amazon.com/SAML/Attributes/RoleSessionName
- 形式：基本
- タイプ：ユーザー属性
- タイプ値：プライマリ電子メール
属性2
- 名前：https://aws.amazon.com/SAML/Attributes/Role
- 形式：基本
- タイプ：式/リテラル
- タイプ値："ロールARN","プロバイダARN"
  ※「AWS - IDプロバイダとロールを作成」でコピーしたARNをそれぞれペーストします。