Amazon Managed Grafana のワークスペースに管理者ユーザー/一般ユーザーが SAML（Auth0）でアクセスできるようにしてみた

若槻龍太

2022.12.20

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

こんにちは、CX 事業本部 IoT 事業部の若槻です。

最近 AWS IoT SiteWise や IoT TwinMaker を触る機会が多いのですが、それらのデータの可視化方法としてはAmazon Managed Grafana（AMG）があります。

今回は、Amazon Managed Grafana（AMG）のワークスペースに管理者ユーザー/一般ユーザーが SAML（Auth0）でアクセスできるようにしてみました。

やってみた

Amazon Managed Grafana（AMG）を今回初めて一から設定しようとして知ったのですが、AMG のワークスペースにアクセスするためには認証方式として「AWS IAM Identity Center」または「SAML」のいずれか（または両方）を設定する必要があります。「AWS IAM Identity Center」は AWS Organization を設定する必要があり検証環境では利用が難しかったため SAML を設定することとしました。

SAML 連携する IdP には、すでに検証テナントを開設していたAuth0を使用することとしました。また SAML 連携の設定には下記エントリを大いに参考にさせて頂きました。

Amazon Managed GrafanaへAuth0を使ってSAMLログインしてみた | DevelopersIO

AMGワークスペースの作成

Amazon Managed Grafanaマネジメントコンソールにアクセスし、ワークスペースを作成します。

ワークスペース名を指定。

[Authentication access]はSecurity Assertion Markup Language (SAML)にチェック、[Permission type]はService managedを選択して次へ。

ここは今回は何も指定せず次へ。

設定の Review をして作成を完了させます。

ワークスペースが作成されたら、[Security Assertion Markup Language (SAML)]で[Complete setup]をクリック。

ここで SAML の設定を行います。

[Step 1: Configure your IdP]で、Service provider identifier (Entity ID) および Service provider reply URL (Assertion consumer service URL) を確認します。次の手順で使用します。

この画面には後で戻ってくるので開いたままにしておきます。

Auth0とのSAML連携

Auth0マネジメントダッシュボードにアクセスして、IdP となるアプリケーションを作成します。

アプリ名を指定し、Regular Web Applicationsを選択して作成。

作成したアプリの[Addons]で[SAML2 WEB APP]をクリック。

[Usage]タブで[Download]をクリックして Identity Provider Metadata をダウンロードします。

[Settings]タブに移動します。

[Application Callback URL]に先程確認した Service provider reply URL (/acsで終わる方)を指定します。

また次の JSON を指定します。

{
    "audience": "<Service provider identifier (/metadata で終わる方)>",
    "destination": "<Service provider reply URL (/acs で終わる方)>",
    "mappings": {
        "email": "email",
        "nickname": "nickname"
    },
    "createUpnClaim": false,
    "passthroughClaimsWithNoMapping": false,
    "mapUnknownClaimsAsIs": false
}

[Enable]をクリックして SAML2 Web App を有効化します。