【AWS IAM Identity Center 小ネタ】APIで作成したユーザーにメールでOTP(ワンタイムパスワード)を送るようにする

AWS IAM Identity Center のユーザー作成を、API(AWS CLIなど)を活用して 効率化したいケースがあると思います。

ただデフォルトの設定では、APIから作成されたユーザーは パスワードが設定されていないので、サインインできません。

これを解消するにはコンソールの [設定] > [認証] > [標準認証] > [E メールの OTP を送信] を有効化する必要があります。

• Send email OTP for users created from API - AWS IAM Identity Center (successor to AWS Single Sign-On)

…伝えたいことは以上ですが、これだけでは物足りないので 実際にその設定を有効化してみます。また、ユーザー作成時の挙動も確かめてみました。

設定の有効化

IAM Identity Center コンソールの [設定 > 認証] ページに 「標準認証」 という項目があります。そこの [設定] を選択します。

[E メールの OTP を送信] にチェックを入れて [保存] しましょう。

設定は以上です。

試してみる

AWS CLIで新規ユーザーを作成します。 以下のようなコマンドを実行しました。

EMAIL="kurameso.taro@example.com"
FAMILY_NAME="Kurameso"
GIVEN_NAME="Taro"
USER_NAME="${EMAIL}"
DISPLAY_NAME="${FAMILY_NAME}_${GIVEN_NAME}"
STORE_ID=$(aws sso-admin list-instances --query "Instances[0].IdentityStoreId" --output text)

# CreateUser
aws identitystore create-user \
  --identity-store-id "${STORE_ID}" \
  --user-name "${USER_NAME}" \
  --display-name "${DISPLAY_NAME}" \
  --name FamilyName="${FAMILY_NAME}",GivenName="${GIVEN_NAME}" \
  --emails Value="${EMAIL}",Type=work,Primary=true

その後、IAM Identity Center のAWSアクセスポータルへ接続します。 新規指定したユーザー名を入力しましょう。

すると「追加の検証が必要です」画面が出てきます。

この時点で該当メールアドレス宛にOTP(ワンタイムパスワード)が届いているはず。表示されたOTPを入力しましょう。 ※ OTPの有効期限は10分です。期限切れの場合は [コードを含むEメールを再送信] をクリックしてください。

「パスワードを選択」画面に遷移します。 Eメールアドレスは正常に検証されました とでてくればOKです。 新規パスワードを設定してもらいましょう。

無事サインインできました。

おわりに

以上、AWS IAM Identity Center のOTP(ワンタイムパスワード)設定でした。 CreateUser APIを使って、ユーザー作成を効率化したい際には、有効化しておきたい項目です。

参考

• Send email OTP for users created from API - AWS IAM Identity Center (successor to AWS Single Sign-On)
• create-user — AWS CLI 2.9.12 Command Reference