ヤマムギ

growing hard days.

*

Active Directory認証でAWSマネジメントコンソールにSSO

      2021/07/05


こちらの2つのサイトを参考にすすめました。

作成元の環境はこちらAWSクイックスタートのActive Directory Domain Services on AWSです。

ADFSのインストール

ADサーバーで、Sever Managerを起動して、[Add roles and features]を選択しました。

[Next]を押下しました。

デフォルトのまま、[Next]を押下しました。

対象は今のサーバーを選択。

ADFSを選択しました。

[Next]を押下しました。

[Install]を押下しました。

IISで自己証明書の発行

SSL証明書が必要なようなので、IISをインストールして自己証明書を発行しておきました。

IIS管理ツールで、ドメインを選択して[Server Certificates]を選択しました。

右側のペインで、[Create Self-Signed Certification]を選択しました。

表示名は任意です。

ADFSの設定

[Configure the federation service on this server.] を選択しました。

ドメインの管理者を選択しました。

IISで作っておいた自己証明書を選択しました。

ドメインの管理者を選択しました。

ADFSが使用するデータベースは新規作成しました。

事前チェックが完了したので、[Configure]ボタンを押下してインストールを行いました。

ADFSのXMLメタデータのダウンロード

https://ホスト名/FederationMetadata/2007-06/FederationMetadata.xml
にアクセスしました。
IEだったので、右上の歯車からCompatibility Settingsでドメインを追加して、XMLが互換表示されるようにしまして、ダウンロードしました。

このXMLファイルを使ってIAMに登録します。

IAMでIDプロバイダの登録

IAMの[IDプロバイダ]-[プロバイダを追加]を押下しました。

プロバイダ名は任意です。
ADFSからダウンロードしたXMLファイルをアップロードしました。

ロールの割り当てをしました。

新規ロールを作成しました。

SAMLプロバイダを選択して、[プログラムによるアクセスとAWSマネジメントコンソールによるアクセスを許可する]を選択すると、自動で以下が設定されます。
* 属性: SAML:aud
* 値: https://signin.aws.amazon.com/saml

今回はS3ReadOnly権限で試すことにしました。

IAMロール名は「ADFS-s3read」にしました。
このs3readの部分がADセキュリティグループの「AWS-s3read」とマッピングされるようにします。
こうすることでSSOの設定を1つ作れば、あとはADのセキュリティグループ名とIAMロール名でのマッピングが可能となります。

それでは、そうなるようにADFSの設定をしていきます。

ADFSの設定

ADFS管理ツールを起動して、[Relying Party Trust]-[Add Relying Party Trust]を選択しました。

Federation metadata addressに以下のURLを入力しました。
https://signin.aws.amazon.com/static/saml-metadata.xml

Display nameはサインイン画面に表示される名前です。任意です。

Permit everyoneを選択しました。

あとはデフォルトで完了です。

ADFSルールの設定

[Add Rule]からルールを4つ登録しました。

1つ目は Transform an Incoming Claimを選択しました。

Claim rule name: NameId
Incoming claim type: Windows account name
Outgoing claim type: Name ID
Outgoing name ID format: Persistent Identifier

2つ目は Send LDAP Attributes as Claimsを選択しました。

Claim rule name: RoleSessionName
LDAP Attribute: E-Mail-Addresses(選択)
Outgoing Claim Type: (入力)
https://aws.amazon.com/SAML/Attributes/RoleSessionName

この設定で、サインインしたユーザーのEメールアドレスが、RoleSessionNameに渡されます。

3つ目は Send Claims Using a Custom Ruleを選択しました。

Claim rule name: Get AD Groups
Custom rule:

4つ目も Send Claims Using a Custom Ruleを選択しました。

Claim rule name: Roles
Custom rule:

IDプロバイダのARNと、IAMロールを示すARNをADFS-まで書いています。
ADセキュリティグループのAWS-より後ろをIAMロールのADFS-の後ろに渡すようにしています。
こうすることで、ADセキュリティグループとIAMロールをマッピングでき、AD側IAM側両方でSSOのためのグループ、ロールを人が見て判断しやすくしています。

これでルールが全部完了しました。

動作確認

https://ホスト名/adfs/ls/IdpInitiatedSignOn.aspx
ADFSのサインイン画面にアクセスしました。

AWS-s3readというADセキュリティグループがプライマリメンバーのs3というユーザーでサインインしました。

画面がリダイレクトされて無事シングルサインオンできました。

EC2へのアクセスは制御されて、

S3へのアクセスはOKでした。
予定通りです。

途中で発生したエラー

Federation metadata addressにhttps://signin.aws.amazon.com/static/saml-metadata.xmlを入力して[Next]押下時に、MSIS7528: The metadata does not contain the role descriptions needed for the entity to be configured as a claims provider trust メッセージ

原因:
[Relying Party Trust]-[Add Relying Party Trust]を選択しなければならないところ、[Claims Provider Trusts]-[Add Claims Provider Trusts]を選択していた。

ADFSにブラウザからアクセスしたときに、MSIS7012エラーでサインインできない。

こちらWindows Server 2019 AD FS 構築でハマるポイント対策に対策がありました。
以下コマンドをPowerShellで実行して解決しました。

Your request included an invalid SAML response. to logout, click here.という画面にリダイレクトされる。

原因:
ADセキュリティグループにAWS-をつけるのを最初忘れていました。
それでIAMロールのARNがちゃんとレスポンスに含まれていなかったと考えられます。

画面にリダイレクトされてロールを選択すると、RoleSessionName is required in AuthnResponse (service: AWSSecurityTokenService; status code: 400; error code: InvalidIdentityToken)

原因:
https://aws.amazon.com/SAML/Attributes/RoleSessionNameにセッション名が渡されていない。
これは、テストユーザーのEメールアドレスを設定し忘れていたので発生しました。


最後までお読みいただきましてありがとうございました!

【PR】 「AWS認定試験対策 AWS クラウドプラクティショナー」という本を書きました。

【PR】 「AWSではじめるLinux入門ガイド」という本を書きました。

【PR】 「ポケットスタディ AWS認定 デベロッパーアソシエイト」という本を書きました。

 - AWS , , , , ,

ad

ad

  関連記事

AWS Client VPNのクライアント接続ハンドラを試してみました

AWS Client VPNを設定しましたで証明書とかせっかく作ったので、いろい …

CUSTOMINEを使ってkintoneからAWS Lambdaを実行する(Cognito認証付き)

先日の記事「kintoneのカスタマイズ開発を超速にするCUSTOMINE」で書 …

ヤマムギ vol.9 (AWS)EC2からAWS CLIコマンドを実行してみようハンズオン 手順

このブログは2020/5/5に開催しました、「ヤマムギ vol.9 (AWS)E …

前からできましたっけ??CloudWatch Logsの保持設定を複数まとめて設定

AWSの個人アカウントで要らなさそうなリソースの断捨離をしてます。 CloudW …

Amazon EC2(Amazon Linux 2)にRedmine3.4をインストール

久しぶりに新しい環境でRedmineを構築したくなり、せっかくなのでAmazon …

AWS Lambda(Python)でDynamoDB テーブルを日次で削除/作成(オートスケーリング付き)

この記事はAWS #2 Advent Calendar 2018に参加した記事で …

Amazon CloudSearchからAmazon Elasticsearch Serviceへ変えました

全文検索をする必要がありまして、本当はCloudSearchを使い続けたいのです …

AWS Client VPNの接続ログを確認しました

AWS Client VPNを設定しましたで証明書とかせっかく作ったので、いろい …

Amazon Aurora Serverlessを使い始めてみました(1日経過しての課金結果も)

祝!!! Amazon Aurora ServerlessがGAになりました! …

Amazon Elasticsearch ServiceにMySQLのデータを投入してkibanaで可視化してみる

MySQLのデータの可視化にAmazon Elasticsearch Servi …