AWS Certified Solutions Architect - Professional 無料問題 3 / 10 ・ 分野2: セキュリティ、コンプライアンス、ガバナンス
社内の外部 IdP を SAML 2.0 で IAM Identity Center に接続した。サインインはできるが、AWS アカウントへの割り当ての画面に、IdP 側のユーザーとグループが表示されない。対処として合うものはどれか。
- SAML ではユーザーとグループを照会できないので、SCIM で自動プロビジョニングを有効にし、IdP に SCIM エンドポイントとトークンを設定する
- IAM Identity Center のアイデンティティソースを AWS Managed Microsoft AD に替え、グループをコピーする。ユーザーは手動で登録する
- IAM Identity Center から IdP のディレクトリを直接照会して、ユーザーとグループを取り込む設定にする
- SAML のメタデータを再度交換する。メタデータにはユーザーとグループの一覧が含まれていて、同期される
正解と解説を見る
正解: A
正解の理由
SAML は IdP に対してユーザーとグループを照会する手段を持たない。外部 IdP を使う場合は、アカウントやアプリへの割り当ての前に、ユーザーとグループを IAM Identity Center にプロビジョニングする必要がある。SCIM による自動プロビジョニングか、手動のプロビジョニングのどちらかを使う。SCIM では、IAM Identity Center の設定で自動プロビジョニングを有効にし、表示される SCIM エンドポイントとアクセストークンを IdP に設定する。
違う選択肢
「SAML のメタデータを再度交換する。メタデータにはユーザーとグループの一覧が含まれていて、同期される」… SAML のメタデータは信頼関係の設定で、ユーザーとグループの一覧を運ばない。再交換しても一覧は同期されない。
「IAM Identity Center から IdP のディレクトリを直接照会して、ユーザーとグループを取り込む設定にする」… SAML の仕組みでは IdP を照会してユーザーを学べないため、IAM Identity Center から取りに行く設定は成立しない。
「IAM Identity Center のアイデンティティソースを AWS Managed Microsoft AD に替え、グループをコピーする。ユーザーは手動で登録する」… AWS Managed Microsoft AD は別のアイデンティティソースである。外部 IdP を使い続ける前提と合わず、グループのコピーは自動同期の代わりにならない。
押さえどころ
SAML だけではユーザーとグループは届かない。SCIM か手動でプロビジョニングする。SCIM のエンドポイントとアクセストークンは、有効化した画面でしか取得できない。
AWS Certified Solutions Architect - Professionalの演習アプリ（無料10問・全問は購入で）へ