Amazon DataZone に IAM Identity Center で SSO ログインを設定してみる

先日 GA となった Amazon DataZone ですが、本番運用していく上で、IAM Identity Center でユーザ管理してデータポータルにログインさせるのが推奨のようだったので、ログイン設定をやってみました。

# Amazon DataZoneとは

Amazon DataZoneは、AWS、オンプレミス、サードパーティのソースに保存されたデータをカタログ化、検索、共有、管理するためのデータ管理サービスです。

Amazon DataZoneを使用して、組織間のデータアクセスを管理できます。

データのパブリッシュとサブスクライブのワークフローを提供しているので、これにより、データプロデューサーはアセットを、ドメイン内にデータカタログとして公開できます。
そして、データコンシューマーは、サブスクライプフローを通したアクセス制御メカニズムによって、カタログにあるデータにアクセスできるようになります。
Amazon DataZone では、さまざまなデータへのアクセス制御を一元化できるため、誰がどのデータをどのような目的で使用しているかを容易に確認することができます。 


あともう1つ、Amazon DataZoneが支援するユースケースとしてあるのが、ビジネスカタログの整備です。

Amazon DataZoneでビジネス用語集を用意することができまして、提供されている検索ポータルから、データを組織内の共通言語によって検索できます。
そして見つけたそのデータカタログがどういったデータなのかを、直感的に理解し、より活用しやすい環境を、データ基盤として作れるというのも、このAmazon DataZoneの特徴にあります。

---
ではさっそく Amazon DataZone で IAM Identity Center の設定を試していきたいと思います。

## 1. IAM Identity Center で SSO ユーザとグループを作成する。
### まず、大前提となる IAM Identity Center での SSO ユーザを作成します。

![Screenshot 2023-12-15 at 13.52.10.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2779150/b93d33dd-8d44-32ea-342a-ba5ff35bb3e6.png)

![Screenshot 2023-12-15 at 13.54.36.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2779150/bf163b78-45c9-6603-671d-f211d841fc8c.png)

![Screenshot 2023-12-15 at 13.55.07.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2779150/c2d46600-0236-4489-ea90-999cdc9921bc.png)

設定したメールアドレスに、検証メールが届いているので、認証とパスワードの再設定しておきます。
![Screenshot 2023-12-15 at 14.03.26.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2779150/40393cc1-e249-2196-095c-4f97257b97de.png)


同様にもう１つグループに属させるユーザーを作成します。

![Screenshot 2023-12-15 at 13.56.46.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2779150/646ade13-3d41-e3e1-d194-fcb4a9044e2e.png)


---
### 次にグループを作っていきます。

![Screenshot 2023-12-15 at 13.45.57.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2779150/e0800630-f07a-3519-665e-57be9843fbf4.png)

さきほど作った２つのユーザーのうち、グループに属する用のユーザのみチェックして、グループを作成します。

![Screenshot 2023-12-15 at 13.58.56.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2779150/f513aa6a-c7a2-ede6-9c2e-302e18b8e5e7.png)

![Screenshot 2023-12-15 at 14.07.03.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2779150/18ac0b67-fb1c-4742-4cf3-ba298a7365ad.png)


---
## 2. Amazon DataZone でドメインを作成します。

ドメインは、独自のビジネス分野の境界で、DataZoneの一番大きな単位です。
いわゆる企業における、会社自体であったり、本部とかの大きな組織の枠のようなイメージをもっていただくと良いと思います。

Amazon DataZone のコンソールに移り、ドメインを作っていきます。
注意としては、さきほどの IAM Identity Center と同じリージョンである必要があります。

![Screenshot 2023-12-15 at 13.25.16.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2779150/9c4d15f0-c2a2-45ff-8276-36c9351e4875.png)



ドメインがつくられると、同時にデータポータルというものが作成されます。
Web ベースのデータホームページのようなものでして、基本的に、Amazon DataZone の ユーザーは、このデータボータル画面を通して、データを公開したり、検索したりといった操作をすることとなります。

![Screenshot 2023-12-15 at 13.43.59.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2779150/50f17ee3-0929-6535-3dbb-eb61d9cab46c.png)

上記のように、ドメインを作成したタイミングでは IAM Identity Center は無効の状態です。

---
## 3. 作成したドメインで、IAM Identity Center を有効化します。

今回は割り当ては不要として進めます。

![Screenshot 2023-12-15 at 14.32.14.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2779150/9ff6a5e2-0560-f91d-31a7-4893ca6bd200.png)

有効に変わりました。

![Screenshot 2023-12-15 at 14.33.54.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2779150/1f9a6a2d-176e-36d8-c609-cdbeef2771f6.png)

この時点ではまだ、ユーザ管理では表示されません。
![Screenshot 2023-12-15 at 14.40.37.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2779150/9fe68b98-ab3e-447a-2270-86ce809bd6ca.png)

---
## 4. IAM Identity Center のログインポータルからSSOログインする。

IAM Identity Center の管理コンソールに移り、設定メニューの下にある、アクセスポータルにアクセスし、グループに属していない SSO ユーザでログインしてみます。

![Screenshot 2023-12-15 at 14.37.19.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2779150/56baac62-1706-d285-4018-a5216fb279f9.png)

![Screenshot 2023-12-15 at 14.42.07.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2779150/dc887bb7-60fc-5250-02b7-8bbac276467b.png)

Amazon DataZone へのリンクが表示されていますので、クリックします。

![Screenshot 2023-12-15 at 14.43.06.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2779150/e59e47a1-1d9c-0b62-9a2c-5157dcdb1039.png)

Amazon DataZone のポータル認証画面に遷移するので、「SIGN IN WITH SSO」ボタンをクリックします。

![Screenshot 2023-12-15 at 14.44.01.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2779150/dea97f15-8c93-a281-46b2-6596f0ff0c20.png)

Amazon DataZone のポータル画面にログインできました。
![Screenshot 2023-12-15 at 14.45.20.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2779150/9d25b356-101d-29bd-cc4d-bc954786ee00.png)

Amazon DataZone の管理コンソールでもSSOユーザとして表示されていることを確認できます。
![Screenshot 2023-12-15 at 14.46.12.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2779150/1eb7431d-ae8e-a012-bc19-b49a17b1854c.png)

---
## ちなみに

Amazon DataZone ポータルで、プロジェクトを作成して、ユーザー追加を試みたところ、そこで、グループ追加もできました。
![Screenshot 2023-12-15 at 14.51.42.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2779150/5b45a0c9-42b5-59eb-f2d3-009b01bf8125.png)

![Screenshot 2023-12-15 at 14.54.53.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2779150/d4247ae5-3603-c985-6504-00373c30b16d.png)


すると、Amazon DataZone の管理コンソールのユーザ管理で、IAM Identity Center で作成した グループが表示され、「割り当て済み」となっておりました。
![Screenshot 2023-12-15 at 14.52.28.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2779150/5d988485-52d2-eade-f203-e490caff27cf.png)

## ちなみに　(パート２)

IAM Identity Center グループをプロジェクトに追加したうえで、グループに所属する SSO ユーザーでログインしたところ、追加したプロジェクトに所属した状態でのログインとなりました。

![Screenshot 2023-12-15 at 14.57.30.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2779150/677fe949-93c7-1305-cdfc-f681563f9c5b.png)


---
自分での検証の備忘録メモとして書いたため、読みにくくてすみません。
今回、Amzon DataZone で IAM Identity Center を有効化する際に、「割り当て不要」としましたが、次は「割り当てが必要」とした場合の挙動を、検証してみたいと思ってます。