Azure#SSO#シングルサインオン#くらめその情シス#情報システム#AWS飯島2022.02.28113この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。情シス@アノテーションの飯島です。ClientVPNのSAML認証がAzureADに対応しています。ClientVPNのSSOに移行しました。VPN側の認証設定について詳しくご紹介します。手順はWindows環境で構築を想定したものになります。以下公式の手順を元にしています。今回作成したのは以下の構成となります。AWS側ではVPCの他に、IAM、CertificateManagerの設定が必要となり、AzureAD側もSSO用の設定が必要になります。準備まずは、ClientVPNを始めるために必要な準備について記載します。事前に次の2つの構成を決めておく必要があります。ターゲットネットワークエンドポイントと紐づくENIが作成されるサブネットになります。想定する同時接続数を考慮してサブネットを構成し、作成しておきます。VPNクライアントへの割り当てCIDRクライアント側に割り当てられるIPアドレスの範囲になります。後ほどClientVPNの設定時に割り当てるため、ひとまず決めておくだけで大丈夫です。VPCの構成やポリシーについては以下の記事にわかりやすくまとめられています。Managerに登録するサーバー証明書が必要になります。証明書の考え方について以下の記事がわかりやすく説明しているのでおすすめです。Managerへの登録の方法は以下の記事を参考にしてください。ClientVPNとSSOで連携するためのアプリを登録します。ClentVPNを検索し、選択します。名前には任意のアプリケーション名を入力して「作成」を選択します。(2)シングルサインオンの設定シングルサインオンの設定「基本的なSAML構成」についてパラメータに以下を設定します。エンティティID:urn:amazon:webservices:clientvpn応答URL:https://127.0.0.1:35001サインオンURL:https://127.0.0.1:35001※注意事項として以下のコンフィグの修正が必要になります。以下の修正を行い[保存]します。「エンタープライズアプリケーション」より、作成したAWSClientVPNのアプリケーションを選択し「概要」、「ユーザーとグループの割り当て」から「ユーザーまたはグループの追加」でクライアントVPNを利用する対象メンバー、グループを追加します。(4)メタデータのダウンロードと、AWSのIAMへアップロード「エンタープライズアプリケーション」より、作成したAWSClientVPNのアプリケーションを選択し「概要」、「シングルサインオンの設定」「SAML署名証明書」にある「フェデレーションメタデータXML」をダウンロードします。ダウンロードした「フェデレーションメタデータXML」はAWSのIAMのIDプロバイダに新規のプロバイダとして追加登録し、Azure側設定は完了です。側の設定(1)クライアントVPNエンドポイントの作成VPCより「クライアントVPNエンドポイント」→「クライアントVPNエンドポイントの作成」を選択します。」で決めたCIDRを入力してください。