Microsoft Entra ID と連携した Amazon WorkSpaces Secure Browser を マイアプリ から起動してみた
はじめに
以前、Amazon WorkSpaces Secure Browser と Microsoft Entra ID を Security Assertion Markup Language（SAML）で連携し、WorkSpaces Secure Browser のポータル URL からセッションを開始する方法を試しました。
前回は、WorkSpaces Secure Browser のポータル URL にアクセスし、Microsoft Entra ID のサインイン画面へリダイレクトされてからセッションを開始する、Service Provider（サービスプロバイダー、以降 SP）起点のフローを利用していました。
WorkSpaces Secure Browser は、Identity Provider（ID プロバイダー、以降 IdP）起点のフローにも対応しています。IdP 起点のフローを設定すると、Microsoft Entra My Apps に表示されるアプリケーションから WorkSpaces Secure Browser のセッションを開始できます。
AWS ドキュメントにも、Azure My Apps ポータルなどの SAML プロバイダーのアプリケーションホームページから、ワンクリックでセッションを開始できることが記載されています。
今回は、前回作成した環境に IdP 起点の SAML サインイン設定を追加し、Microsoft Entra My Apps から WorkSpaces Secure Browser のセッションを開始できることを確認しました。
前提条件
今回は、以下の記事で作成した環境を使用します。
主な前提条件は以下です。
- WorkSpaces Secure Browser ポータルを作成済み
- WorkSpaces Secure Browser と Microsoft Entra ID を SAML 連携済み
- WorkSpaces Secure Browser ポータルのステータスがアクティブ
- Microsoft Entra ID に WorkSpaces Secure Browser 用のエンタープライズアプリケーションを作成済み
- WorkSpaces Secure Browser のポータル URL から SP 起点でセッションを開始できる
- 動作確認に使用する Microsoft Entra ID ユーザーを作成済み
前回までの設定では、以下のように WorkSpaces Secure Browser のポータル URL からアクセスしていました。
WorkSpaces Secure Browser のポータル URL
↓
Microsoft Entra ID
↓
WorkSpaces Secure Browser セッション
今回は、以下の IdP 起点のフローを追加します。
Microsoft Entra My Apps
↓
WorkSpaces Secure Browser アプリケーション
↓
WorkSpaces Secure Browser セッション
WorkSpaces Secure Browser で IdP 起点のサインインを有効にする
AWS マネジメントコンソールから WorkSpaces Secure Browser を開き、対象のポータルを選択します。
対象ポータルの [アイデンティティプロバイダー] タブを開き、SAML サインインタイプを編集します。
[SAML サインインタイプを選択] を、以下の設定から変更します。
SP によって開始された SAML アサーションのみ
変更後の設定は以下です。
SP によって開始された SAML アサーションと IdP によって開始された SAML アサーション
この設定により、WorkSpaces Secure Browser のポータル URL から開始する SP 起点のフローに加えて、Microsoft Entra My Apps から開始する IdP 起点のフローも利用できます。
AWS ドキュメントでは、IdP 起点のフローを利用する場合、SAML 2.0 ID プロバイダーにデフォルトのリレー状態を設定する必要があると記載されています。
設定を変更したら、画面に表示される [リレー状態パラメータ] をコピーします。
IdP 起点の SAML サインインを有効にしてリレー状態パラメータを確認する画面
今回の環境では、以下の形式の値が表示されました。ポータル ID、クライアント ID、ID プロバイダー名は環境固有の情報であるため、記事中ではマスクしています。
redirect_uri=https%3A%2F%2F<portal-id>.workspaces-web.com%2Fsso&response_type=code&client_id=<client-id>&identity_provider=<identity-provider-name>
リレー状態パラメータには、WorkSpaces Secure Browser ポータルを識別するための環境固有の値が含まれています。
Microsoft Entra ID にリレー状態を設定する
続いて、Azure portal で Microsoft Entra ID 側の設定を変更します。
https://portal.azure.com/
Microsoft Entra ID の [エンタープライズ アプリケーション] を開き、前回作成した WorkSpaces Secure Browser アプリケーションをクリックします。
WorkSpaces Secure Browser 用のエンタープライズアプリケーションを選択する画面
アプリケーションの概要画面から [シングル サインオンの設定] をクリックします。
WorkSpaces Secure Browser アプリケーションのシングルサインオン設定を開く画面
SAML の設定画面で [基本的な SAML 構成] を編集します。
[リレー状態（省略可能）] に、WorkSpaces Secure Browser からコピーしたリレー状態パラメータを貼り付けます。
WorkSpaces Secure Browser のリレー状態パラメータを設定する画面
既存の [識別子（エンティティ ID）] と [応答 URL] は、前回の記事で設定した値から変更していません。
利用者をアプリケーションに割り当てる
Microsoft Entra My Apps にアプリケーションを表示するため、利用するユーザーまたはグループを WorkSpaces Secure Browser アプリケーションに割り当てます。
対象のエンタープライズアプリケーションで [ユーザーとグループ] を開き、WorkSpaces Secure Browser を利用するユーザーまたはグループを追加します。
WorkSpaces Secure Browser アプリケーションに利用者を割り当てる画面
Microsoft のドキュメントでは、エンタープライズアプリケーションにユーザーを割り当てると、そのユーザーの My Apps ポータルにアプリケーションが表示されると説明されています。
My Apps にアプリケーションを表示する
続いて、対象のエンタープライズアプリケーションで [プロパティ] を開きます。
今回は、以下のように設定しました。
| 項目 | 設定 |
|---|---|
| ユーザーのサインインが有効になっていますか | はい |
| ユーザーに表示しますか | はい |
My Apps からのサインインとアプリケーション表示を有効にする画面
[ユーザーに表示しますか] を [はい] にすると、割り当てられたユーザーの My Apps ポータルと Microsoft 365 アプリ起動ツールにアプリケーションが表示されます。
ただし、この設定を [はい] にするだけでは表示されません。対象のユーザーまたはグループをアプリケーションに割り当てておく必要があります。
Microsoft Entra My Apps からアクセスする
設定が完了したため、動作確認します。
利用者がアクセスする Microsoft Entra My Apps は、Azure portal とは異なるサイトです。
https://myapps.microsoft.com/
それぞれの用途は以下です。
| URL | 用途 |
|---|---|
https://portal.azure.com/ |
管理者がエンタープライズアプリケーションなどを設定する |
https://myapps.microsoft.com/ |
利用者が割り当てられたアプリケーションを起動する |
My Apps は、Microsoft Entra ID で利用者に割り当てられたアプリケーションを確認し、起動するためのポータルです。
検証ユーザーで My Apps にアクセスすると、WorkSpaces Secure Browser アプリケーションが表示されました。
対象のアプリケーションをクリックします。
Microsoft Entra My Apps に表示された WorkSpaces Secure Browser アプリケーション
アプリケーションをクリックすると、WorkSpaces Secure Browser のセッション開始処理が進みました。
My Apps から WorkSpaces Secure Browser のセッションを開始している画面
その後、WorkSpaces Secure Browser のセッションが起動しました。
Microsoft Entra My Apps から起動した WorkSpaces Secure Browser セッション
今回の検証では、My Apps ですでに Microsoft Entra ID にサインインしていたため、WorkSpaces Secure Browser アプリケーションをクリックした後に、ユーザー名やパスワードを再入力することなくセッションを開始できました。
「認証せずにアクセスできた」という意味ではなく、My Apps へのサインイン時に作成された Microsoft Entra ID の認証セッションが使用され、追加のサインイン操作を求められなかった動作です。
SP 起点と IdP 起点の違い
今回確認した 2 つのサインインフローを整理します。
| フロー | 利用者が最初にアクセスする場所 | 動作 |
|---|---|---|
| SP 起点 | WorkSpaces Secure Browser のポータル URL | Microsoft Entra ID にリダイレクトされ、認証後にセッションを開始する |
| IdP 起点 | Microsoft Entra My Apps | My Apps のアプリケーションをクリックしてセッションを開始する |
[SP によって開始された SAML アサーションと IdP によって開始された SAML アサーション] を選択しているため、今回の設定後も、前回使用した WorkSpaces Secure Browser のポータル URL からアクセスできます。
そのため、IdP 起点の設定によって SP 起点のアクセス方法を置き換えるのではなく、2 つのアクセス方法を利用できる構成になります。
まとめ
Amazon WorkSpaces Secure Browser で IdP 起点の SAML サインインを有効にし、Microsoft Entra My Apps からセッションを開始できました。
設定のポイントは、WorkSpaces Secure Browser で IdP 起点の SAML アサーションを有効にし、表示されたリレー状態パラメータを Microsoft Entra ID の SAML 設定に登録することです。
また、My Apps にアプリケーションを表示するには、利用者をエンタープライズアプリケーションに割り当て、[ユーザーに表示しますか] を [はい] に設定する必要があります。
今回の検証では、My Apps にサインイン済みの状態でアプリケーションをクリックすると、追加のサインイン操作なしで WorkSpaces Secure Browser のセッションを開始できました。
