証明書利用者の信頼およびクレームの追加によって SAML 2.0 IdP を設定する
IAM ID プロバイダー、および SAML アクセス用のロールを作成すると、外部 ID プロバイダー (IdP) の詳細とそのユーザーが許可されているアクションが AWS に通知されます。次のステップでは、IdP に対し、サービスプロバイダーとしての AWS について通知します。これは、IdP と AWS の間に証明書利用者の信頼を追加することと呼ばれます。証明書利用者の信頼を追加するための正確なプロセスは、使用する IdP によって異なります。詳細については、使用している ID 管理ソフトウェアのドキュメントを参照してください。
多くの IdP が URL の指定を許可しています。IdP はこの URL から、証明書利用者の情報と証明書が含まれる XML ドキュメントを読み取ることができます。AWS については、https:// または region-code.signin.aws.amazon.com/static/saml-metadata.xmlhttps://signin.aws.amazon.com/static/saml-metadata.xml を使用します。実行可能な region-code 値のリストについては、「AWS サインインエンドポイント」の [Region] (リージョン) 列を参照します。
URL を直接指定できない場合は、XML ドキュメントを前述の URL からダウンロードし、ダウンロードした XML ドキュメントを IdP ソフトウェアにインポートします。
また、IdP で、AWS を証明書利用者として指定する適切なクレームルールを作成する必要があります。IdPが AWS エンドポイントにSAML応答を送信すると、1つ以上のクレームを含む SAML アサーションが含まれます。クレームとは、ユーザーとそのグループに関する情報です。クレームルールはその情報を SAML 属性にマッピングします。これにより、AWS が IAM ポリシー内でフェデレーティッドユーザーのアクセス許可を確認するのに必要な属性が、IdP からの SAML 認証レスポンスに確実に含まれます。詳細については、次のトピックを参照してください。
-
AWS リソースへの SAML フェデレーションアクセスを許可するロールの概要. このトピックでは、IAM ポリシー内の SAML 固有のキーの使用について説明するほか、そのキーを使用して SAML フェデレーティッドユーザーの権限を制限する方法について説明します。
-
認証レスポンス用の SAML アサーションを設定する. このトピックでは、ユーザーに関する情報を含む SAML クレームを設定する方法について説明します。クレームは SAML アサーションにバンドルされ、AWS に送信される SAML レスポンスに含まれます。AWS ポリシーによって必要とされる情報が、AWS が認識して使用できる形式で SAML アサーションに含まれていることを確認する必要があります。
-
サードパーティーの SAML ソリューションプロバイダーを AWS に統合する。このトピックには、サードパーティの組織から提供されている、ID ソリューションを AWS と統合する方法に関するドキュメントへのリンクが記載されています。
注記
フェデレーションの耐障害性を高めるには、IdP と AWS フェデレーションを、複数の SAML サインインエンドポイントをサポートするように設定することをお勧めします。詳細については、AWS セキュリティブログの記事「フェイルオーバーにリージョン SAML エンドポイントを使用する方法
