はじめに
こんにちは。
先日のブログでは、IBM Verifyにあらかじめ用意されているテンプレートを使ったAWS IAM Identity Centerへのシングル・サインオンの構成方法をご紹介させていただきました。
今回は、AWS IAM Identity Centerへのアクセスを簡単に承認制(アクセスしたいユーザーがアクセス権を申請し、あらかじめ設定された承認者の判断を仰ぐ)にする方法をご紹介させていただきます。
前回のおさらい
AWS IAM Identity Center へのシングル・サインオンに関連する各種設定はは、IBM Verifyの管理者メニューにある"アプリケーションの追加"から行いました。
先日のブログでは、アプリケーション / 詳細メニューの"資格"タブの画面で、下図のようにアクセス権申請のステップが不要な"すべてのユーザーおよびグループに対する自動アクセス"を選択しました。
これを今回はAWS接続の責任者の承認が必要な定義に変更します。
承認制にする設定
下図のように、" すべてのユーザーおよびグループに承認が必要"と、その下の"アプリケーション所有者"をチェックします。
(アプリケーション所有者は、アプリケーション / 詳細メニューの"一般"で、"所有者の追加"で設定できます。また、ユーザーの管理者を承認者にすることも出来ます。)
これでAWS IAM Identity Centerへのシングル・サインオンが、アプリケーション所有者を承認者とする承認制になりました。
特定のユーザーやグループに属するユーザーのみ承認が必要とする場合は、"ユーザーとグループを選択して個々のアクセス権限を割り当てる"を選択します。
補足情報ですが、上の図でグレーアウトされている"高度なフローを使用する"をチェックすると。下図のようにIBM Verifyのフロー・デザイナーを使ったよりきめ細やかな承認フローを作成して適用することも可能です。
アクセス申請からアクセスまでのテスト
IBM VerifyにAWS Identity Centerにアクセスしたいユーザーとしてログインすると、下図のような"ランチパッド"画面が表示されます。右上の青い"アプリの追加"をクリックします。
下図のように、アプリ・カタログ上にAWS IAM Identity Centerが表示されます。先日のブログ時はこれをクリックしてアクセスできましたが、承認制の設定にしたため、"アクセス権の要求"が表示されるようになりました。これをクリックします。
"アクセス権の要求"画面が表示されるので、承認者へのコメントを入力して実行をクリックします。申請が承認者に送信されます。
所有者のユーザーでログインし、ランチパッドから"タスク・マネージャー"タブを選ぶと先程の申請が表示されているのでチェックマークをクリックし、必要に応じてコメントを追記し、承認します。これで申請が承認されました。
申請者ユーザーで再度ログインすると今度はランチパッドに"AW Identity Center"メニュー表示され、
"アプリの起動"が選べるようになりました。クリックします。
AWSアクセスポートにシングル・サインオン出来ました。
最後に
ここまで読んでいただきありがとうございました。
今回はIBM Verify経由でのAWS IAM Identity Centerへのシングル・サインオンを、承認制にするための設定をご紹介しました。次の回では、シングル・サインオンが出来るようになったユーザーの見直し方法について見ていきたいと思います。
#IBMVerify #SAML #AWS