Amazon WorkSpaces Secure Browser を Microsoft Entra ID と SAML 連携してみた

Amazon WorkSpaces Secure Browser と Microsoft Entra ID を SAML 連携してポータルへのログインを試してみました。SP メタデータとフェデレーションメタデータの交換から、実際の認証・セッション起動までの一連の設定手順を紹介します。

平井裕二

2026.07.22

 はじめにAmazon WorkSpaces Secure Browser では、SAML 2.0 に対応した外部の ID プロバイダーを使用してユーザーを認証できます。
今回は、Microsoft Entra ID を外部 IdP として設定し、SAML 認証を使用して WorkSpaces Secure Browser のポータルへログインできることを確認しました。
ポータル URL へアクセスすると Microsoft Entra ID のサインイン画面へリダイレクトされ、認証後に Secure Browser セッションを開始できます。
 前提条件Secure Browser セッションからインターネットへの通信には、Regional NAT Gateway を使用します。
今回は以下を前提とします。
検証リージョンは ap-northeast-1
WorkSpaces Secure Browser 用の VPC を作成済み
異なる Availability Zone にプライベートサブネットを 2 つ作成済み
Regional NAT Gateway を作成済み
プライベートサブネットのデフォルトルートを Regional NAT Gateway に設定済み
WorkSpaces Secure Browser 用のセキュリティグループを作成済み
検証に使用する Microsoft Entra ID ユーザーを作成済み
今回の VPC は、以下のような構成です。
VPC
├── Private Subnet 1 / ap-northeast-1a
│   └── WorkSpaces Secure Browser 用
│
├── Private Subnet 2 / ap-northeast-1c
│   └── WorkSpaces Secure Browser 用
│
└── Regional NAT Gateway
プライベートサブネットに関連付けたルートテーブルには、以下のルートを設定しています。


送信先
ターゲット


VPC CIDR
local

0.0.0.0/0
Regional NAT Gateway

 WorkSpaces Secure Browser ポータルを作成するAWS マネジメントコンソールから WorkSpaces Secure Browser を開き、ポータルを作成します。


WorkSpaces Secure Browser のポータルを作成する画面
 ネットワークを仮設定するポータルの作成画面では、VPC、サブネット、セキュリティグループの選択が必要です。
今回は、標準 IdP を選択した後のサービスプロバイダー設定を完了せず、いったん画面を閉じました。そのため、ポータル作成時に選択したネットワーク設定は、作成後のポータルでは未設定になっていました。
この画面では、ポータルの作成を進めるために、VPC、サブネット、セキュリティグループを一時的に選択します。
実際に Secure Browser セッションで使用するネットワークは、Microsoft Entra ID との SAML 連携が完了した後、ポータルの [ネットワーク] タブから改めて設定します。具体的な手順は、後述の「ネットワークを設定する」で説明します。


ポータルの作成を進めるためにネットワークを一時的に選択する画面
 ポータルの設定を入力するポータルには以下を設定しました。
表示名：wsb-poc
ポータルの最大容量：1
その他の設定：デフォルト
ポータルの最大容量は、同時に利用できるセッション数の上限です。今回は動作確認が目的のため、1 にしました。


ポータルの表示名と最大容量を設定する画面
 標準 IdP を選択する認証方式には標準認証を使用します。
[標準 IdP で続行] をクリックすると、WorkSpaces Secure Browser ポータルが自動作成されます。


標準 IdP を選択してポータルを作成する画面
ポータル作成後、続けてサービスプロバイダー設定を実施できます。
ただし、Microsoft Entra ID 側の操作を同じタイミングで実施できない場合は、いったん画面を閉じても問題ありません。Microsoft Entra ID 側の設定後、ポータルの [アイデンティティプロバイダー] タブから設定できます。
今回は、サービスプロバイダー設定を完了せずにいったん画面を閉じました。


サービスプロバイダー設定を継続する画面
Microsoft Entra ID の IdP メタデータを登録するまでは、ポータルのステータスが [不完全] と表示されます。
 SP メタデータをダウンロードする作成したポータルの [アイデンティティプロバイダー] タブを開きます。
[サービスプロバイダー（SP）の詳細] にある [SP メタデータファイルをダウンロード] をクリックし、XML ファイルをダウンロードします。


WorkSpaces Secure Browser の SP メタデータファイルをダウンロードする画面
ここでダウンロードするのは、署名証明書や暗号化証明書ではなく、SP メタデータファイルです。
SP メタデータには、Microsoft Entra ID 側の SAML 設定に必要な以下の情報が含まれています。
SP エンティティ ID
SP ACS URL
シングルログアウト URL
SAML の署名や暗号化に関する設定
今回は、WorkSpaces Secure Browser 側で以下の設定を使用しています。
SAML リクエストへの署名：無効
SAML アサーションの暗号化：無効
シングルログアウト：無効
そのため、署名証明書と暗号化証明書は Microsoft Entra ID へ登録していません。
 Microsoft Entra ID を設定するAzure portal を開きます。
https://portal.azure.com/#home
 エンタープライズアプリケーションを作成するAzure portal で [Microsoft Entra ID] を開き、[エンタープライズ アプリケーション] をクリックします。


Azure portal の Microsoft Entra ID からエンタープライズアプリケーションを開く画面
[すべてのアプリケーション] から [新しいアプリケーション] をクリックします。


新しいエンタープライズアプリケーションを作成する画面
[独自のアプリケーションの作成] をクリックし、アプリケーション名を入力します。


独自のアプリケーション名を入力する画面
今回は以下の名前にしました。
WorkSpaces Secure Browser wsb-poc
用途には、以下を選択します。
ギャラリーに見つからないその他のアプリケーションを統合する
（ギャラリー以外）


ギャラリー以外のアプリケーションとして作成する画面
 SAML シングルサインオンを設定する作成したエンタープライズアプリケーションを開き、[シングル サインオン] から [SAML] を選択します。


SAML によるシングルサインオンを選択する画面
SAML 設定画面で、[メタデータ ファイルをアップロードする] をクリックします。
先ほど WorkSpaces Secure Browser からダウンロードした SP メタデータファイルをアップロードします。
SP メタデータを取り込むと、主に以下の値が設定されます。


Microsoft Entra ID 側
WorkSpaces Secure Browser 側


識別子（エンティティ ID）
SP エンティティ ID

応答 URL
SP ACS URL

ログアウト URL
シングルログアウト URL

設定後、Microsoft Entra ID 側の値が WorkSpaces Secure Browser の画面に表示されている値と一致していることを確認します。
今回は WorkSpaces Secure Browser 側でシングルログアウトを無効のままにしています。
シングルログアウトは、WorkSpaces Secure Browser からログアウトした際に、WorkSpaces Secure Browser と Microsoft Entra ID の両方のセッションからサインアウトするための仕組みです。
今回はログインと Secure Browser セッションの起動確認を目的としているため、シングルログアウトは設定していません。そのため、SP メタデータから設定されたログアウト URL は、今回の動作確認では使用していません。
 フェデレーションメタデータをダウンロードするMicrosoft Entra ID の SAML 設定画面から、[フェデレーション メタデータ XML] をダウンロードします。


Microsoft Entra ID のフェデレーションメタデータ XML をダウンロードする画面
 Microsoft Entra ID のメタデータを AWS に登録するWorkSpaces Secure Browser のポータル画面に戻ります。
[アイデンティティプロバイダー] タブにある [ID プロバイダー（IdP）の詳細] の [編集] をクリックします。


WorkSpaces Secure Browser の IdP 設定を編集する画面
Microsoft Entra ID からダウンロードしたフェデレーションメタデータ XML を、[IdP メタデータドキュメント] としてアップロードします。


Microsoft Entra ID のフェデレーションメタデータをアップロードする画面
メタデータの登録が完了すると、ポータルのステータスが [アクティブ] になりました。


ポータルのステータスがアクティブになった画面
この画面には暗号化証明書のダウンロードを案内するメッセージが表示される場合があります。
暗号化証明書は、Microsoft Entra ID が発行する SAML アサーション自体を暗号化する場合に使用します。今回は [SAML アサーションを暗号化] を無効にしているため、暗号化証明書の登録は行いませんでした。
ここまでで、以下の2つのメタデータを交換したことになります。
WorkSpaces Secure Browser
  └── SP メタデータ
          ↓
      Microsoft Entra ID

Microsoft Entra ID
  └── フェデレーションメタデータ
          ↓
      WorkSpaces Secure Browser
 ネットワークを設定するMicrosoft Entra ID との SAML 連携が完了したら、作成したポータルの [ネットワーク] タブから、Secure Browser セッションで実際に使用するネットワークを改めて設定します。
今回は以下を指定しました。
作成済みの VPC
異なる Availability Zone のプライベートサブネット 2 つ
WorkSpaces Secure Browser 用のセキュリティグループ
セキュリティグループには、以下のルールを設定しました。
インバウンドルールは設定していません。
アウトバウンドルールは以下のとおりです。


タイプ
プロトコル
ポート
送信先


すべてのトラフィック
すべて
すべて
0.0.0.0/0

今回は、Regional NAT Gateway 経由でインターネットへ接続できることを確認するため、アウトバウンド通信を広く許可しています。
実際の環境では、接続先や利用するプロキシなどの要件に応じて、アウトバウンドルールを制限してください。
 ポータルへアクセスするポータルがアクティブになったら、ポータルの詳細画面に表示されている [デフォルトのポータル URL] にアクセスします。


WorkSpaces Secure Browser のデフォルトポータル URL にアクセスした画面
Microsoft Entra ID のサインイン画面へリダイレクトされるため、検証ユーザーでサインインします。


Microsoft Entra ID を使用してサインインする画面
認証後、WorkSpaces Secure Browser のセッションが起動しました。


Microsoft Entra ID 認証後に WorkSpaces Secure Browser セッションを開始できた画面
これで、Microsoft Entra ID と SAML 連携した WorkSpaces Secure Browser ポータルへログインできました。
 まとめAmazon WorkSpaces Secure Browser と Microsoft Entra ID を SAML 連携し、Entra ID 認証でポータルにログインできました。
設定では、WorkSpaces Secure Browser の SP メタデータを Entra ID に登録し、Entra ID のフェデレーションメタデータを WorkSpaces Secure Browser に登録します。
同様の構成を検討している方の参考になれば幸いです。