Microsoft Entra ID を Client VPN 認証用の SAML ID プロバイダーとして設定する方法を教えてください。

所要時間2分

Microsoft Entra ID を AWS Client VPN 認証用の SAML ID プロバイダーとして設定することを検討しています。

解決策

Microsoft Entra ID の Client VPN を設定します。手順については、Microsoft Learn ウェブサイトで「Microsoft Entra ID を使用してシングルサインオンできるように AWS Client VPN を設定する」を参照してください。

Microsoft Entra 管理センターで基本的な SAML 設定を行うときは、次の値を使用します。

識別子 (エンティティ ID) には、urn:amazon:webservices:clientvpn を使用します。
返信 URL (ACS URL) に https://127.0.0.1:35001 と入力します。
注: Microsoft Azure では、返信 URL フィールドには HTTPS が必要ですが、Client VPN には HTTP を使用する必要があります。
サインオン URL には、https://127.0.0.1:35001 と入力します。
署名オプションには、Sign SAML レスポンスとアサーションを使用します。
セルフサービスポータルを使用する場合は、2 番目の URL として、Client VPN セルフサービスポータル URL のアサーションコンシューマーサービス (ACS) エンドポイントとして https://self-service.clientvpn.amazonaws.com/api/auth/sso/saml を追加します。

SAML 設定を保存した後で、Microsoft Graph アプリマニフェストで defaultRedirectUri と redirectUriSettings の値を http://127.0.0.1:35001 を使用するように変更します。

グループベースの認証ルールでは、SAML トークン属性設定に次のクレームを追加します。

FirstName に user.givenname を追加します。
LastName に user.surname を追加します。
memberOf に user.groups を追加します。
注: グループベースの承認ルールには memberOf クレームが必要です。クレームでは大文字と小文字が区別されます。

注: 必ず SAML 署名証明書セクションからフェデレーションメタデータ XML をダウンロードしてください。次に、ユーザーとグループセクションで、VPN にアクセスする必要があるユーザーまたはグループを割り当てます。

AWS Identity and Access Management (IAM) SAML ID プロバイダーを作成して、AWS と Microsoft Entra ID の間の信頼関係を確立してください。

プロバイダーを構成するときは、次の設定を使用してください。

プロバイダーの種類には、SAML を使用します。
プロバイダー名には、Entraid-ClientVPN などの記述名を使用します。
メタデータドキュメントには、Microsoft Entra ID を設定したときにダウンロードしたフェデレーションメタデータ XML をアップロードします。
注: Client VPN は認証に ID プロバイダーを直接使用し、プロバイダーは新しい IAM ロールを必要としません。

フェデレーション認証を使用して Client VPN エンドポイントを作成します。認証を設定するときは、次のオプションを選択します。

接続をテストするには、次の手順を実行します。

SAML 認証が成功すると、VPN 接続が確立されます。