委任認証用に Amazon Web Services を設定する

委任認証用に Amazon Web Services (AWS) を設定する方法を説明します。

Auth0 を使用して、Amazon Web Services (AWS) で委任認証を設定できます。詳しくは、シングルサインオン用に Amazon Web Services を設定する および Custom Authorizers を使用して AWS API Gateway エンドポイントを保護する を参照してください。

​

AWS で SAML プロバイダーを作成する

1. AWS にログインし、IAM コンソールに移動します。左側のナビゲーションメニューで Identity Providers を選択し、Create Provider をクリックします。次のパラメーターを設定します。

   パラメーター	説明とサンプル値
   Provider Type	プロバイダーの種類。SAML に設定します
   Provider Name	auth0SamlProvider など、プロバイダーを識別しやすい名前
   Metadata Document	Auth0 Dashboard > アプリケーション > Application Settings > Advanced Settings > Endpoints > SAML Metadata URL にある Auth0 のメタデータを含むファイルをアップロードします

2. Next Step をクリックします。

3. 設定内容を確認し、問題がなければ Create をクリックします。

​

SAML プロバイダー 用のロールを作成する

SAML プロバイダーを使用するには、ロールの信頼ポリシーでその SAML プロバイダーを使用する IAM ロールを作成する必要があります。

1. IAM コンソールで Roles に移動します。Create role をクリックします。Trust ページにリダイレクトされるので、Select type of trusted entity で Saml 2.0 federation を選択します。次の値を入力します。

   Parameter	Value
   SAML Provider	新しいロールの名前
   Attribute	SAML:iss
   Value	urn:{yourDomain}

2. 続行するには Next: Permissions をクリックします。

3. 新しいロールにはアクセス許可ポリシーをアタッチする必要があります。ここではカスタムポリシーをアタッチします。作成するには、Create Policy をクリックします。

4. 起動した Create policy エディターで、JSON タブに切り替えます。カスタムポリシーを入力します。

   {
     "Version": "2012-10-17",
     "Statement": [{
         "Effect": "Allow",
         "Action": [
           "*"
         ],
         "Resource": [
         "arn:aws:s3:::{yourBucket}/<%= '${saml:sub}' %>",
         "arn:aws:s3:::{yourBucket}/<%= '${saml:sub}' %>/*"]
     }]
   }
   

   これにより、このロールを付与されたユーザーが AWS で持つアクセス許可が定義されます。Review policy をクリックします。

5. 作成したポリシーを確認します。ポリシーの Name と、必要に応じて Description を必ず入力してください。

6. 完了したら Create policy をクリックします。成功すると、新しいポリシーの作成を確認する次のメッセージが表示されます。「auth0SamlRolePolicy has been created」。

7. ロール作成ウィザードに戻り (2 - Permissions ステップにいるはずです) 、今作成した新しいポリシーを見つけて、そのチェックボックスをクリックし、ロールにポリシーをアタッチします。ポリシーを見つけるには、Customer managed フィルターを使用することをおすすめします。

8. 続行するには Next: Review をクリックします。

9. ロールに関する情報を確認し、Role name を入力し、必要に応じて Role description を入力します。アタッチしたポリシーも表示されます。問題がなければ、続行するために Create role をクリックします。

10. 作成後は、メインの Roles ページでロールを確認できます。

​

ARN 値をコピーする

以下の手順では、Provider と Role の ARN 値がどこにあるかを確認できます。

​

Provider ARN

IAM コンソールで、アイデンティティプロバイダーに移動します。確認したいロールを選択して、概要ページを開きます。Summary の最初に記載されている Provider ARN の値をコピーします。

​

Role ARN

IAM コンソールで Roles に移動します。確認したいロールを選択して、その概要ページを開きます。Summary の先頭に表示されている Role ARN の値をコピーします。