AWS ControlTower②SSOの確認・追加・削除

# SSOユーザーを作成しよう
IAM Identity Centerから払い出していきます。
まず左のメニューからユーザーを押下します。
![スクリーンショット (969).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3827410/1e88aed0-38fe-d49a-d90c-773ce3a547f6.png)

オレンジの【ユーザーを追加】を押下します。
![スクリーンショット (970).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3827410/05f83f02-5bd7-5b0b-2c7c-94da67035d3f.png)

次に、ユーザーの詳細設定を行います。
【ポイント】
表示名は名→姓順になります！
![スクリーンショット (974).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3827410/899e1c20-bbb4-07cc-c641-c99186d9f861.png)

ユーザーをグループに追加します。追加したいグループの横にチェックを入れると、所属させることができます。
今回はデフォルトのもの(AWSControlTowerAdmins)で設定していきます。ControlTowerに所属しているアカウントすべてに対してadmin権限を持つグループです。
![スクリーンショット (975).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3827410/7e03b698-d35c-67f6-0f53-6e75fe885e0b.png)

最後に確認をします。問題なければ、【ユーザーを追加】を押下します。
![スクリーンショット (976).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3827410/8ec99907-d4ee-dde0-7e32-58c7cec52e72.png)
![スクリーンショット (977).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3827410/90dd4bb6-b7eb-52f8-1835-f06885056ba5.png)

追加を押下すると、先ほどのユーザー画面に遷移して、画面上部に正常に追加された旨が表示されます。
![スクリーンショット (978).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3827410/62f2cea8-2daf-079f-1337-3e2ef4496693.png)
ここまでで追加は一旦完了です。

次に追加されたユーザーのメール認証を行い、実際に使用できるようにしていきます。
登録したメアドのメールボックスを見ると、こんな感じのメールが届いているので、水色のAcceptinvitationを押下します。
HTML形式で開きます。
![スクリーンショット (979).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3827410/c5345591-55f1-23d4-9cfc-5211346c65ba.png)
するとパスワードの設定を求められるので、新規パスワードを設定します。
![スクリーンショット (980).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3827410/81eb8c3a-cd69-1afb-e222-0d60d026ff3f.png)

完了すると以下のような画面が表示され、SSOのログイン画面に遷移します。
![スクリーンショット (981).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3827410/5c59b639-98ce-a06f-d54c-5d95f72df3cd.png)
先ほど設定したパスワードを用いてログインをすると、MFA設定画面に遷移します。今回は認証アプリ(Google Authenticatorなど)で設定します。
![スクリーンショット (983).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3827410/27f613b8-b6b8-d7dc-c946-c99bebe5cdd2.png)
MFAデバイスを設定するので、画面に沿って設定します。
![スクリーンショット (984).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3827410/16d6f259-c00f-dd48-f79e-c556b218bb9e.png)
これも完了すると以下のような画面になります。
![スクリーンショット (985).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3827410/8d76376e-2c72-5d25-35a3-59d69d07ab98.png)
完了を押下すると、AWS access portalに遷移します。これが今後SSOログイン後に遷移する画面です。ここから各アカウントに付与されている権限を選択してログインすることができます。
![スクリーンショット (986).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3827410/73f73e95-35cf-0754-2d0e-24e47246ef61.png)
先ほどAWS ControlTowerAdmins権限グループに入っていた権限が各アカウントに付与されています。すべてのアカウントに対してadmin権限がある状態ですね。このロールを押下してログインすると、その権限を持ってアカウント内を操作できるような感じです。
![スクリーンショット (987).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3827410/e72134ec-ec83-c6b3-ad75-6763b657671a.png)
# SSOユーザーの削除
削除は該当のアカウントにチェックを入れて、右上のユーザーを削除を押下します。
![スクリーンショット (988).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3827410/597f6e64-0cc7-f8e6-c93a-3227e9f53af6.png)

確認画面が入るので、ここも削除を押下します。
![スクリーンショット (989).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3827410/ea12ec3e-0c7c-604e-eea7-0e82b0a61c49.png)
ユーザーが削除されました！AWSの中ではかなり簡易的に削除ができるようです。
![スクリーンショット (990).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3827410/feff9f90-a7c6-c37c-12a6-c95fbe803059.png)


# 今後SSO経由でログインするために
今後このSSOユーザー経由で各アカウントにログインしたい時は、ControlTowerの左のメニューからユーザーとアクセスから、ユーザーポータルURLを取得して、そこからログインします。
各組織によってポータルURLが違うので、注意です。
![スクリーンショット (1055).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3827410/9f37fcc5-fe42-b72b-73df-fe7dbc054455.png)
複数組織で同じメアドを使用してSSOを作ったりもしましたが、そうするとMFAの管理が煩雑になってしまったのであまりおすすめはしません・・・

以上でSSOの作成・削除手順は終了です！