業務でSSO開発を行ったので、備忘録。

対象者

Cognitoを使用してSSO連携したい人
SAML認証を使用してSSO連携したい人
IdPを簡潔に設定してSSO連携の動きを知りたい人

SSOとは

Single Sign-Onの略で、ユーザーが複数のサービスに一度のログインでアクセスできるようにする技術です。これにより、ユーザーエクスペリエンスが向上し、パスワード管理のオーバーヘッドも削減されます。

SAMLとは

Security Assertion Markup Languageの略で、SSOのためのXMLベースのオープンスタンダードです。SAMLは、異なるドメイン間での認証と承認データの交換を可能にします。

AWS Cognitoとは

Amazon Web Services (AWS) が提供する認証・認可サービスです。Cognitoを使用すると、Webアプリケーションやモバイルアプリケーションに簡単にユーザー管理と認証機能を追加することができます。

実装の流れ

今回は下図を構築していきます。App部分は後日時間があれば別記事にします。
SAML IdPはKeycloakを使用しています。オープンソースのアイデンティティ・アクセス管理ソフトウェアなのでローカル環境で構築できます。

Cognito設定(ユーザープール作成)
IdP設定（Keycloak構築)
Cognitoのアプリケーションクライアント構築
動作確認(Cognito アプリケーションクライアントのホストされたUIから確認)

構築

Cognito設定

AWSマネコン > AWS Cognito > ユーザープール作成

ユーザープール作成

SSO連携させたいので「フェデレーテッドアイデンティティプロバイダー」チェック

SSO連携時のマッピングをemailで行うので「Eメール」チェック
フェデレーティッドサインインのオプション：SAML

この辺は適宜設定してください。（今回に影響なし）
パスワードポリシー：Cognitoのデフォルト

MFAなし

「CognitoでEメールを送信」チェック

IdP(keycloak)設定後に設定するので「後で」クリック

ユーザープール名：任意の値

ドメイン名はSSO連携で必要になるため「Cognitoドメインを使用する」にチェック
ドメイン名は任意の値

「パブリッククライアント」チェック
アプリケーションクライアント名：任意の値
クライアントのシークレットを生成しない：チェック
許可されているコールバックURL：https://jwt.io →後から説明します。

作成できました!!ユーザープールIDはkeycloak設定で使用します。

IdP設定（Keycloak構築)

前提：dockerをローカルPCに構築済
今回IdPはローカル環境内に構築していきます。Dockerを使用するので各自構築お願いします。

docker-compose.yaml

version: '3'
services:
  keycloak:
    image: quay.io/keycloak/keycloak:latest
    container_name: keycloak
    tty: true
    stdin_open: true
    ports:
      - "18080:8080" # 8080は被りやすいので別のポートに設定
    volumes:
      - .keycloak:/opt/keycloak/data # DB情報等が格納されます
    environment:
      KEYCLOAK_ADMIN: admin # 管理ユーザーIDを設定
      KEYCLOAK_ADMIN_PASSWORD: admin # 管理ユーザーのパスワードを設定
    command:
      - start-dev --http-relative-path /auth # 開発モードで起動

Docker起動

$ docker-compose up -d

Keycloak起動
ブラウザで「 http://localhost:18080/auth/ 」入力。以下のように表示されたら成功!!

今からKeycloakの設定を行なっていきます。
Keycloakの細かい内容を知りたい場合は公式ドキュメントを読んでください。
https://keycloak-documentation.openstandia.jp/

IdP側の設定

レルム作成（多分テナント単位みたいなもの）
レルムのロール作成
クライアント作成（今回はCognito側の情報設定）
IdP内にユーザー追加

「Administration Console >」クリック → Dockerファイルで設定した、ユーザー、PWを入力

レルム作成
サイドメニュー「master」クリック→「Create Realm」クリック

Realm name 「Test」入力、「Create」クリック

サイドメニューから「Realm roles」クリック、「Create role」クリック

「Role name」に「Test-role」入力、「Save」クリック

サイドメニューから「Clients」クリック、「Create client」クリック

下記設定：
Client Type: SAML
Client ID: urn:amazon:cognito:sp:<ユーザープールID>
※ユーザープールIDは各自作成したユーザープールで確認

IdP(Keycloak)は、SAMLアサーションを使用して、このエンドポイントにユーザーをリダイレクトするので以下の設定が必要です。
Keycloak側でCognitoの帰り先を設定するイメージ。
Valid redirect URIs:
https://< yourDomainPrefix >.auth.< region >.amazoncognito.com/saml2/idpresponse

※以下公式ドキュメント参考：https://docs.aws.amazon.com/ja_jp/cognito/latest/developerguide/cognito-user-pools-saml-idp.html

「Save」クリック