Okta × IAM Identity Center × QuickSight

k_i

Oktaの30日間無料トライアル
メールアドレスと電話番号だけで登録できる
Gmailはダメだった
トライアルでも大体の機能が使えるぽい

k_i

OktaとIAM Identity Centerの連携は以下の流れで出来た

k_i

自動プロビジョニングでAWS側のBaseURLをOkta側に設定する際にURLの末尾の/を削除する必要あり

k_i

Okta側でTest用のユーザー・グループを用意する

k_i

IAM Identity CenterとQuickSightの連携は以下を参考にした
IAM Identity Center(管理アカウント)とQuickSight(メンバーアカウント)は別アカウント

k_i

IAM Identity Center側に必要な情報

IAMロールとIAM ID プロバイダーのarn -> 属性マッピングで設定

QuickSight側に必要な情報・用意するもの

IAM Identity Center SAML メタデータファイル -> IAM ID プロバイダーに設定
Reader/Authorなどの権限別IAM プロバイダー
Reader/Authorなどの権限別IAMポリシー、IAMロール

k_i

アプリケーションの設定の表示名のところがSSOログイン時に表示される名前になるので分かりやすい名前にする必要がある
後からでも変更可能

k_i

Okta側で用意しておいたユーザーをIAM Identity Centerに同期する

k_i

権限を分けたい場合はアプリケーションを複数作る必要がある

1点目はAWS SSOのQuickSightアプリケーションの作成についてです。
AWS SSOアプリケーションでは割り当てユーザー別に属性マッピングを設定することができないため、ユーザーもしくグループ毎に割り当てたい権限が異なる場合は、今回の構成図のようにQuickSightの権限毎(Author,Reader毎)に QuickSightアプリケーションを作成する必要があります。