Amazon WorkSpaces Secure Browser の SSO 拡張機能で Microsoft Entra ID の再サインインを省略してみた
はじめに
以前、Amazon WorkSpaces Secure Browser と Microsoft Entra ID を Security Assertion Markup Language（SAML）2.0 で連携し、Microsoft Entra ID の認証を使用してポータルへサインインする方法を試しました。
この構成では、ローカルブラウザから WorkSpaces Secure Browser のポータル URL へアクセスすると、Microsoft Entra ID のサインイン画面へリダイレクトされます。Microsoft Entra ID で認証すると、Secure Browser セッションを開始できます。
一方、Secure Browser セッション内から Microsoft Entra ID の認証を使用する Web サイトへアクセスすると、ローカルブラウザで認証済みであっても、再度サインインを求められる場合があります。
Amazon WorkSpaces Secure Browser には、ローカルブラウザで取得した認証 Cookie を Secure Browser セッションへ同期する、Single Sign-On（シングルサインオン、以降 SSO）拡張機能があります。この拡張機能を利用することで、Secure Browser セッション内で同じ ID プロバイダーを利用する Web サイトへアクセスする際の再サインインを省略できる場合があります。
今回は、Microsoft Entra ID と SAML 連携済みの WorkSpaces Secure Browser ポータルで SSO 拡張機能を有効にしました。そのうえで、Secure Browser セッション内から Microsoft My Apps へアクセスし、Microsoft Entra ID への再サインインを省略できるか試しました。
SSO 拡張機能とは
WorkSpaces Secure Browser の SSO 拡張機能は、ユーザーがローカルブラウザでサインインした際に取得した Cookie を、Secure Browser セッションへ同期するためのブラウザ拡張機能です。
たとえば、WorkSpaces Secure Browser ポータルと、Secure Browser セッション内でアクセスする Web サイトが同じ SAML 2.0 Identity Provider（ID プロバイダー、以降 IdP）を使用している場合、IdP のサインイン Cookie を Secure Browser セッションへ渡せます。
これにより、Secure Browser セッション内で同じ IdP を利用する Web サイトへアクセスした際の、追加のサインイン操作を減らせます。
拡張機能自体へのサインインは不要です。インストール後はバックグラウンドで動作し、WorkSpaces Secure Browser の管理者が許可したドメインの Cookie を同期します。また、拡張機能自体にはデータが保存されません。
今回の構成では、以下の流れで Microsoft Entra ID の認証 Cookie が同期されます。
ローカルの Google Chrome
↓
WorkSpaces Secure Browser のポータル URL へアクセス
↓
Microsoft Entra ID で SAML 認証
↓
SSO 拡張機能が許可されたドメインの Cookie を同期
↓
Secure Browser セッションを開始
↓
セッション内から Microsoft My Apps へアクセス
SSO 拡張機能をインストールしなくても、WorkSpaces Secure Browser ポータルにはアクセスできます。
今回確認するのは、SSO 拡張機能を使用することで、Secure Browser セッション内における Microsoft Entra ID への追加のサインイン操作を省略できるかという点です。
前提条件
今回は、以下の環境を構築済みとします。
- WorkSpaces Secure Browser ポータルを作成済み
- WorkSpaces Secure Browser と Microsoft Entra ID を SAML 連携済み
- Microsoft Entra ID ユーザーでポータルへサインインできる
- Secure Browser セッションからインターネットへアクセスできる
- 検証リージョンは
ap-northeast-1 - ローカルブラウザには Google Chrome を使用する
- Secure Browser セッション内から Microsoft My Apps へアクセスできる
WorkSpaces Secure Browser と Microsoft Entra ID の SAML 連携手順は、以下の記事を参照してください。
SSO 拡張機能が対応しているデバイスとブラウザは以下です。
- デバイス
- ノートパソコン
- デスクトップコンピュータ
- ブラウザ
- Google Chrome
- Mozilla Firefox
今回の検証では、ローカルの Google Chrome の通常ウィンドウを使用しました。
Google Chrome のシークレットウィンドウや Mozilla Firefox のプライベートブラウジングウィンドウでは、拡張機能がデフォルトで有効になりません。
SSO 拡張機能が想定どおりに動作するように、通常のブラウジングウィンドウを使用します。
SSO 拡張機能が無効な場合を確認する
最初に、SSO 拡張機能が無効な状態で動作を確認します。
AWS マネジメントコンソールから WorkSpaces Secure Browser を開き、対象のポータルを選択します。
ポータルの [ユーザー設定] タブを開き、[ユーザー設定の詳細] を確認します。
対象ポータルの [ユーザー設定] タブを開いた画面
今回の環境では、[シングルサインオンに WorkSpaces Secure Browser 拡張機能を使用できるようにする] が無効になっています。
SSO 拡張機能が無効な状態
この状態で、ローカルの Google Chrome から WorkSpaces Secure Browser のポータル URL へアクセスします。
ポータル URL は、対象ポータルの詳細画面にある [デフォルトのポータル URL] から確認できます。
URL は以下のような形式です。
https://<portal-id>.workspaces-web.com
ポータル URL へアクセスすると、Microsoft Entra ID のサインイン画面へリダイレクトされます。
Microsoft Entra ID で認証し、Secure Browser セッションを開始します。
Secure Browser セッション内のブラウザから、Microsoft My Apps にアクセスしました。
https://myapps.microsoft.com/
今回は、以下のように Microsoft Entra ID のサインイン画面が表示されました。
SSO 拡張機能が無効な状態では、Microsoft My Apps へのアクセス時にサインインを求められた
ローカルブラウザでは、WorkSpaces Secure Browser のポータルへアクセスする際に Microsoft Entra ID で認証しています。
しかし、SSO 拡張機能が無効な状態では、その認証 Cookie は Secure Browser セッションへ同期されません。
そのため、Secure Browser セッション内から Microsoft My Apps へアクセスした際に、改めて Microsoft Entra ID へのサインインを求められました。
SSO 拡張機能を有効にする
続いて、既存の WorkSpaces Secure Browser ポータルで SSO 拡張機能を有効にします。
対象ポータルの [ユーザー設定] タブを開き、[ユーザー設定の詳細] にある [編集] をクリックします。
[シングルサインオンに WorkSpaces Secure Browser 拡張機能を使用できるようにする] を有効にします。
今回の設定では、Cookie を同期するドメインとして以下を指定しました。
microsoftonline.com
SSO 拡張機能を有効にし、Cookie の同期対象ドメインを設定した画面
Cookie の同期対象には、WorkSpaces Secure Browser のポータルドメインである workspaces-web.com ではなく、IdP が認証に使用するドメインを指定します。
AWS ドキュメントでは、Microsoft Entra ID のドメインとして microsoftonline.com が案内されています。
URL ではなく、ドメイン名のみを指定します。
microsoftonline.com
以下のように、プロトコルやパスを含む URL は指定しません。
https://login.microsoftonline.com/
Cookie を同期する適切なドメインは、利用する IdP や Web サイトによって異なります。AWS ドキュメントでは、適切なドメインをテストして特定することは利用者側の責任とされています。
今回の検証では、AWS ドキュメントで Microsoft Entra ID 向けに案内されている microsoftonline.com を指定しました。
設定後、変更内容を保存します。
Google Chrome に拡張機能をインストールする
SSO 拡張機能を有効にした後、ローカルの Google Chrome から WorkSpaces Secure Browser のポータル URL へアクセスします。
ポータル URL は、対象ポータルの [デフォルトのポータル URL] に表示されている URL です。
https://<portal-id>.workspaces-web.com
Microsoft Entra ID で認証すると、以下の [シングルサインオン用の拡張をインストールしますか？] 画面が表示されました。
SSO 拡張機能のインストールを案内する画面
[Amazon WorkSpaces Secure Browser 拡張機能をダウンロード] をクリックします。
Google Chrome の拡張機能追加画面が表示されます。
内容を確認し、[「Amazon WorkSpaces Secure Browser」を追加] をクリックします。
Google Chrome に Amazon WorkSpaces Secure Browser 拡張機能を追加する画面
拡張機能をインストールした後、先ほどの [シングルサインオン用の拡張をインストールしますか？] 画面に戻ります。
画面をリロードすると、インストールした拡張機能が認識され、WorkSpaces Secure Browser セッションの起動画面が表示されました。
拡張機能のインストール後に Secure Browser セッションを開始する画面
この画面から Secure Browser セッションを開始します。
SSO 拡張機能は、ローカルブラウザにインストールします。Secure Browser セッション内のブラウザへインストールするものではありません。
今回の構成では、以下の位置に拡張機能が存在します。
ユーザー端末
└── ローカルの Google Chrome
└── Amazon WorkSpaces Secure Browser 拡張機能
拡張機能のインストール後は、ユーザーが拡張機能自体へサインインしたり、手動で Cookie の同期を実行したりする必要はありません。
拡張機能のインストールは、Web ブラウザごとに一度実施します。別の端末やブラウザを使用する場合や、ローカルブラウザから拡張機能を削除した場合は、次のセッション開始時に再度インストールを求められます。
Microsoft My Apps へアクセスする
WorkSpaces Secure Browser セッションが起動したら、Secure Browser 内のブラウザから Microsoft My Apps にアクセスします。
https://myapps.microsoft.com/
今回は、Google の検索結果から Microsoft My Apps へアクセスしました。
Secure Browser セッション内から Microsoft My Apps へアクセスする画面
Microsoft Entra ID のサインイン画面は表示されず、そのまま Microsoft My Apps へ遷移できました。
追加のサインイン操作なしで Microsoft My Apps を表示できた
SSO 拡張機能が無効な場合は、Microsoft My Apps へのアクセス時に Microsoft Entra ID のサインインを求められました。
一方、SSO 拡張機能を有効にし、Cookie の同期対象ドメインに microsoftonline.com を指定した場合は、追加のサインイン操作なしで Microsoft My Apps へアクセスできました。
この結果から、今回の環境では、SSO 拡張機能による Cookie の同期が機能し、Microsoft My Apps への再サインインを省略できたことを確認しました。
動作確認結果
今回の検証結果は以下です。
| SSO 拡張機能 | Cookie の同期対象ドメイン | Microsoft My Apps へのアクセス結果 |
|---|---|---|
| 無効 | なし | Microsoft Entra ID のサインインを求められた |
| 有効 | microsoftonline.com |
追加のサインイン操作なしでアクセスできた |
今回の検証では、WorkSpaces Secure Browser ポータルへのサインインと Microsoft My Apps へのサインインに、同じ Microsoft Entra ID テナントのユーザーを使用しています。
また、SSO 拡張機能は、多要素認証や Microsoft Entra ID の条件付きアクセスポリシーを回避する機能ではありません。
Microsoft Entra ID 側のポリシーによって再認証が必要と判断された場合は、Cookie が同期されていてもサインインや多要素認証を求められる可能性があります。
SSO 拡張機能で同期できるのは、WorkSpaces Secure Browser の管理者が設定したドメインの Cookie です。利用する IdP やアクセス先に応じて、どのドメインを同期対象にするか確認する必要があります。
まとめ
Microsoft Entra ID と SAML 連携した Amazon WorkSpaces Secure Browser で、SSO 拡張機能を試しました。
今回の検証では、SSO 拡張機能を有効にし、Cookie の同期対象ドメインに microsoftonline.com を指定することで、Secure Browser セッション内から Microsoft My Apps へ追加のサインイン操作なしでアクセスできました。
WorkSpaces Secure Browser ポータルと、Secure Browser セッション内で利用する Web サイトが同じ IdP を使用している場合、ユーザーのサインイン操作を減らす方法として利用できそうです。
