シングルサインオン用のAWS IAM Identity Center SAMLの設定
PlaidCloudは、SAML 2.0によるシングルサインオン（SSO）をサポートしています。このガイドでは、組織のユーザーがPlaidCloudにアクセスする際にAWSで認証できるよう、AWS IAM Identity Center（旧AWS SSO）をSAML IDプロバイダーとして構成する手順を説明します。
- IAM Identity Centerが有効になっているAWSアカウント
- AWSSSOMasterAccountAdministratorマネージドポリシーまたは同等の権限を持つIAMユーザーまたはロール
- IAM Identity Centerにアイデンティティソース（組み込みディレクトリ、Active Directory、または外部IdP）が構成されていること
- 設定の調整と構成値の交換のために、PlaidCloudサポートと連絡が取れること
セットアップでは、2者がSAMLメタデータを交換します。
- お客様側の作業： IAM Identity Centerでカスタム SAMLアプリケーションを構成し、SAML Metadata URLをPlaidCloudに提供します。
- PlaidCloud側の作業： アプリケーションの構成を完了するために必要なサービスプロバイダー（SP）のエンティティIDとACS URL（Assertion Consumer Service URL）を提供します。
以下のステップ3を完了する前に、PlaidCloudサポートと調整してSPの値を入手してください。
ステップ1：カスタム SAMLアプリケーションの作成
Section titled “ステップ1：カスタム SAMLアプリケーションの作成”- AWS Management Consoleにサインインし、IAM Identity Centerに移動します。
- 左側のサイドバーで、Applicationsを選択します。
- Add applicationをクリックします。
- I have an application I want to set upを選択し、Custom SAML 2.0 applicationを選びます。
- 次へをクリックします。
- アプリケーションのDisplay nameを入力し（例：
PlaidCloud SSO）、必要に応じて説明も入力します。
ステップ2：IAM Identity Center SAML Metadata URLの取得
Section titled “ステップ2：IAM Identity Center SAML Metadata URLの取得”サービスプロバイダーの詳細を構成する前に、IAM Identity CenterのメタデータURLを確認してPlaidCloudに送信します。
- アプリケーションの構成ページで、IAM Identity Center metadataセクションまでスクロールします。
- IAM Identity Center SAML metadata URLをコピーします（形式：
https://portal.sso.{region}.amazonaws.com/saml/metadata/{instanceId}）。
このメタデータURLをPlaidCloudサポートに送信してください。 これは、PlaidCloudがIDプロバイダー側の信頼関係を構成するために必要なEntity Descriptor URLです。PlaidCloudがこのURLを受け取ると、チームがKeycloakの構成を完了し、SSOをテストできる状態になったらお知らせします。
ステップ3：サービスプロバイダーの詳細の構成
Section titled “ステップ3：サービスプロバイダーの詳細の構成”- Application propertiesセクションまでスクロールします。
- Application ACS URLフィールドに、PlaidCloudから提供されたACS URLを入力します。
- Application SAML audienceフィールドに、PlaidCloudから提供されたSPエンティティIDを入力します。
- 提出をクリックします。
ステップ4：属性マッピングの構成
Section titled “ステップ4：属性マッピングの構成”IAM Identity Centerは、SAMLアサーションでユーザー属性をPlaidCloudに渡します。PlaidCloudが必要なユーザー情報を受け取れるよう、属性マッピングを構成します。
- アプリケーションの詳細ページで、Attribute mappingsタブを選択します。
- Add new attribute mappingをクリックし、次のマッピングを追加します。
| アプリケーションのユーザー属性 | IAM Identity Centerの文字列値またはユーザー属性へのマッピング | 形式 |
|---|---|---|
Subject |
${user:email} |
emailAddress |
email |
${user:email} |
unspecified |
firstName |
${user:givenName} |
unspecified |
lastName |
${user:familyName} |
unspecified |
- Save changesをクリックします。
グループメンバーシップ（任意）
Section titled “グループメンバーシップ（任意）”IAM Identity Centerは、他のプロバイダーと同じようには、グループメンバーシップをSAML属性としてネイティブに渡しません。PlaidCloudの構成でグループベースのセキュリティロール割り当てが必要な場合は、利用可能な方法についてPlaidCloudサポートと相談してください。一般的な方法としては、グループ割り当てを使った組み込みディレクトリの利用や、Active Directoryなどの外部アイデンティティソースからのグループ同期があります。
ステップ5：アプリケーションへのユーザーとグループの割り当て
Section titled “ステップ5：アプリケーションへのユーザーとグループの割り当て”このSSO構成で認証できるのは、アプリケーションに割り当てられたユーザーとグループのみです。
- アプリケーションの詳細ページで、Assign users and groupsタブを選択します。
- Assign users and groupsをクリックします。
- PlaidCloudへのSSOアクセスを許可するユーザーまたはグループを検索して選択します。
- Assign usersをクリックします。
連携のテスト
Section titled “連携のテスト”PlaidCloudが構成の完了を確認したら、次の手順を行います。
- 組織のPlaidCloudワークスペース（例：
https://my-workspace.plaid.cloud）に移動します。 - AWS IAM Identity Centerのサインインページにリダイレクトされます。
- AWS IAM Identity Centerの認証情報でサインインします。
- 認証に成功すると、PlaidCloudにリダイレクトされます。
エラーが発生した場合は、次の点を確認してください。
- ACS URLとSPエンティティIDが、PlaidCloudから提供された値と完全に一致している
- ログインしようとしているユーザーが、IAM Identity Centerでアプリケーションに割り当てられている
- Subject属性が
${user:email}にマッピングされ、emailAddress形式になっている - PlaidCloudに送信したメタデータURLに、PlaidCloudのサーバーからアクセスできる