Entra ID（旧Azure AD）をIdpとしているAWS IAM Identity Centerのベアラートークンを更新

ちょうど約1年ほど前に、AWSのログインのためにEntra IDと連携させた。

その時の記事が↓

AWS IAM Identity Center(旧名AWS SSO)を用いてAzure ADでシングルサインオン
ついに[Azure]タグまで作ってしまったｗｗｗｗｗ
 

だいたい有効期限の3ヶ月くらい前からAWSから注意喚起のメールがたびたび届いていたので

そろそろ更新しないといけないなーとは気づいていた。

このまま放置しておくとEntra IDで作成したユーザーがIdentity Centerに自動プロビジョニングされないので、1年単位でトークンを更新する必要がある。

やり方はマニュアル参照。

https://docs.aws.amazon.com/ja_jp/singlesignon/latest/userguide/provision-automatically.html?icmpid=docs_sso_console#rotate-token

AWSでの作業（新しいトークンを作成）

まずはAWS IAM Identity Centerを開く。

「設定に移動」をクリックする。

※期限が迫っていると赤バナーで警告が出るので、そこから「トークンを管理」でもOK。

アイデンティティソースのアクションから「プロビジョニングの管理」をクリックする。

「トークンを生成」をクリックする。

新しいトークンが発行されるので、コピーするなりどっかに保存する。

Entra IDでの作業（新しいトークンで接続）

次。

Azure portalにログインして、Identity Centerのエンタープライズアプリケーションを開く。

「プロビジョニング」をクリックする。

「資格情報の更新」をクリックする。

「シークレットトークン」に先ほど生成したトークンを入力して、「テスト接続」をクリックする。

問題なければOKと表示されるので、「保存」をクリックする。

AWSでの作業（古いトークンを削除）

古いトークンは不要なので削除する。

Identity Centerの方に戻り、古いアクセストークンを選択して、「削除」をクリックする。

確認画面が表示されるので、「削除」と入力し「アクセストークンを削除」をクリックする。

削除されたことを確認する。

1年に1回更新作業が必要

結構手間のように見えるが、思った以上に手間ではない。

これとは別にSAML証明書の更新も数年おきに必要。

セキュリティ上、更新が必要な仕様になっているので

Entra IDでSSO連携するためには必要な作業。

なので、設定してはい終わりｗｗｗｗっていうことにはならないように。