[アップデート] Amazon Q Business で IAM Identity Center 統合ができるようになりました。なりましたというか今後必須になるようです

いわさ

2024.04.19

いわさです。

みなさん Amazon Q の公式ドキュメント更新履歴を毎朝見ますよね。私も見ています。

今朝、Amazon Q Business と AWS IAM Identity Center を統合し、IAM Identity Center を使って Amazon Q ユーザーを管理できるようになったと更新されていましたね。

以前までは Amazon Q Business はデプロイ後のユーザー管理に SAML 連携を使うことが出来ました。
次の記事では大瀧さんが Microsoft Entra ID の SAML アプリケーションを統合されています。

これまでは IAM Identity Center を使いたい場合でも SAML を構成する必要があったのですが、今回のアップデートでマネージド統合がサポートされました。

Amazon Q Business は本日時点でプレビューです

サポートされたというか...今後はそれのみっぽい

ただ、よくドキュメント見てみますと、どうやら IAM Identity Center のマネージド統合ができるようになるというか、必須になるようです。
次の公式ドキュメントの記述に注目してください。

Starting April 30, 2024, all new applications will need to use IAM Identity Center directly to manage user access. All existing Amazon Q applications will need to migrate to using IAM Identity Center for user management by July 31, 2024. We recommend you integrate any new application you're creating directly with IAM Identity Center.

参考：How Amazon Q Business works - Amazon Q Business

2024 年 4 月 30 日以降に新しく Amazon Q Business アプリケーションを追加する際には、IAM Identity Center の統合が必須となるとのこと。
また、既存の全てのアプリケーションは 2024 年 7 月 31 日まで IAM Identity Center を使用するように移行する必要があります。

Microsoft Entra ID で構成済みの大瀧さん、移行が必要です！

そして、AWS Organizations などが諸事情により使えない場合は IAM Identity Center が使えないと思いますが、その場合は諦めるしかないのでしょうか。

安心してください。今回のアップデートで IAM Identity Center アカウントインスタンスが Amazon Q Business に対応したようです。
IAM Identity Center アカウントインスタンスというのは、AWS Organizations の利用が前提となる組織インスタンスと異なり、スタンドアロンあるいはメンバーアカウントで個別に作成することができる IAM Identity Center インスタンスです。

IAM Identity Center 統合を確認してみる

本日は実際に IAM Identity Center を使って組織インスタンス、アカウントインスタンスの挙動を調べてみましたので紹介します。
先にお伝えすると、SAML 統合から IAM Identity Center マネージド統合に「移行」する機能は本日時点では提供されていないようでして、新しくアプリケーションの再作成が必要となります。

新規アプリケーションを作成してみます。

最初のステップで次のようにアプリケーションのユーザー管理方法を選択します。

Starting 04/30/2024, you will need to use IAM Identity Center for user identity management of all new applications.

IAM Identity Center (Recommended)

Use IAM Identity Center as your AWS gateway to the Identity Provider of your choice.

Legacy Identity Management

Use SAML2.0 to manage user identities created using the Identity Provider of your choice.

このダイアログ上からも IAM Identity Center が今後は推奨されていることが確認出来ます。SAML 統合はレガシーという表現になっています。
おそらく 2024 年 4 月 30 日以降はこのダイアログも表示されずに IAM Identity Center の利用が前提でセットアップが進むのだと思います。

SAML 2.0

本日時点では Legacy Identity Management と表現されていますが、まだ SAML 2.0 を使った新規アプリケーションを作成することが可能です。

SAML 統合の場合はセットアップ時に特に何かを意識する必要はないです。

Deploy web experience操作を行う際に SAML 構成を行います。
冒頭の大瀧さんの記事とこのあたりは同じですね。

組織インスタンス

組織インスタンスの連携から行ってみます。

重要な点を先にお伝えしておきたいのですが、**IAM Identity Center と連携を行う場合、Amazon Q Business アプリケーションとリージョンを合わせる必要があります。*+
Amazon Q のプレビュー時点ではバージニア北部とオレゴンリージョンでのみ利用できるので、IAM Identity Center もそのリージョンで作成する必要が出てきます。Amazon Q の東京リージョンサポートが待たれますね。

ちなみにリージョンが異なる場合は次のような表示となります。

リージョンが一致していれば、自動で IAM Identity Center インスタンスが選択されます。
アカウントインスタンスについては後述しますが、本日時点ではこの画面でインスタンスの選択が出来ません。
そのため、Organizations で IAM Identity Center の組織インスタンスとアカウントインスタンスが混在している状態で、メンバーアカウントから Amazon Q アプリケーションを作成しようとすると組織インスタンスが強制的に選択されました。インスタンス選択の挙動に注意してください。

インスタンス選択後は、IAM Identity Center ユーザーを選択していく流れとなります。

なお、IAM Identity Center 統合の場合はそのまま Web Experience もデプロイされます。

発行された URL にアクセスして見ると IAM Identity Center の認証が要求されました。良さそうですね。

この機能を使って IAM Identity Center と統合した場合、IAM Identity Center アプリケーション上は AWS マネージドアプリケーションとして構成されます。

既存アカウントインスタンスを使う

続いてアカウントインスタンスを構成してみます。
IAM Identity Center 組織インスタンス未作成の Oranizations に所属する、メンバーアカウント上で IAM Identity Center アカウントインスタンスを作成し、Amazon Q アプリケーションを作成してみましょう。

次のように Amazon Q Business アプリケーションを作成しようとしているリージョンにインスタンスを作成しました。