はじめに

こんにちは、サーバーワークスのディベロップメントサービス2課の池田です。

本記事では Microsoft Entra ID と Amazon Connect を SAML 2.0 で連携し、シングルサインオン (SSO) を構成する手順を紹介します。
通話フローや CTI 連携には踏み込まず、Entra ID と Amazon Connect の SAML 設定について記載します。

前提条件

AWS アカウント作成済み
Microsoft Entra ID のテナント作成済み

構築手順

1. Amazon Connect インスタンスを新規作成

AWS マネジメントコンソール → Amazon Connect → インスタンスを追加する
SAML 2.0 ベースの認証 を選択し、任意のアクセス URL を設定して次へ
管理者なし を選択して次へ
以降はデフォルト設定で次へ
もう一度次へ
インスタンスの作成 を選択
作成完了後、赤枠の インスタンス ID を控える

2. Entra ID へ SAML によるシングルサインオンの設定

Microsoft Entra IDの管理センター を選択
エンタープライズアプリケーション を選択
新しいアプリケーション を選択
Amazon Web Service (AWS) を選択
AWS Single-Account Access を選択し作成
シングルサインオン → SAML
保存を求められたらはい
SAML 証明書 ブロックで フェデレーションメタデータ XML をダウンロード

3. AWS へ ID プロバイダ設定

IAM → ID プロバイダ → プロバイダを追加
SAML を選択し、プロバイダ名に entra-sso-example を入力
メタデータドキュメントに手順 2-8 で取得した XML をアップロード → プロバイダを追加
作成後、プロバイダ ARN を保存

4. AWS へロールの設定

IAM → ポリシー → ポリシーの作成

JSON タブを選択し、以下を貼り付けて次へ

 {
     "Version": "2012-10-17",
     "Statement": [
         {
             "Sid": "AllowConnectFederation",
             "Effect": "Allow",
             "Action": "connect:GetFederationToken",
             "Resource": "*",
             "Condition": {
                 "StringEquals": {
                     "connect:InstanceId": "手順1で控えたインスタンス ID"
                 }
             }
         }
     ]
 }

参照: https://docs.aws.amazon.com/ja_jp/connect/latest/adminguide/configure-saml.html

ポリシー名に AmazonConnectEntraSso を入力し ポリシーの作成
IAM → ロール → ロールを作成
SAML 2.0 フェデレーション を選択し entra-sso-example を指定
「プログラムと AWS マネジメントコンソールへのアクセスを許可する」をチェックし、リージョンは東京 (ap-northeast-1)、非リージョンレベルのエンドポイントを指定 → 次へ
ポリシーに AmazonConnectEntraSso をアタッチ → 次へ
ロール名に AmazonConnectEntra と入力し ロールを作成
作成後、ロール ARN を保存

5. Entra 側の連携設定

アプリの シングルサインオン → 基本的な SAML 構成 → 編集
リレー状態 に次を入力し保存
```
 https://ap-northeast-1.console.aws.amazon.com/connect/federate/[インスタンス ID]?destination=%2Fconnect%2Fhome
```
参照: https://docs.aws.amazon.com/ja_jp/connect/latest/adminguide/configure-saml.html#destination-relay
属性とクレーム → 編集を選択
Roleのレコード を選択
ソース属性に手順 4 で作成した ロール ARN と手順 3 で作成した ID プロバイダ ARN をカンマ区切りで入力

参照: https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_providers_create_saml_assertions.html#saml_role-attribute
ユーザーとグループ → ユーザまたはグループの追加
対象ユーザーを選択し選択
このとき詳細ペインに表示される ユーザープリンシパル名 を控える

6. Amazon Connect のユーザー登録

Connect 管理画面 → ユーザー → 新しいユーザの追加
名・姓を入力し、ログイン に手順 5-7 で控えたユーザープリンシパル名を入力 → 保存

7. 動作確認

アプリの シングルサインオン 画面下部 Test → サインインのテスト
ブラウザーがリダイレクトし、Amazon Connect のホーム画面が表示されればテスト成功
MyAppへ登録したユーザでログインし、AWS Single-Account Access を選択することでAmazon Connectを利用することができます ↓