アイデンティティセンター統合を含むブラウザベース

この認証タイプでは、外部 ID プロバイダーから新規の JSON Web トークン (JWT) を取得して Athena で認証できます。このプラグインを使用すると、信頼できる ID の伝播による企業 ID のサポートを有効にすることができます。ドライバーで信頼できる ID の伝播を使用する方法の詳細については、「Amazon Athena ドライバーで信頼できる ID の伝播を使用する」を参照してください。CloudFormation を使用してリソースを設定およびデプロイすることもできます。

信頼できる ID の伝播では、ID コンテキストが IAM ロールに追加され、AWS リソースへのアクセスをリクエストするユーザーを識別します。信頼できる ID の伝播の有効化と使用方法の詳細については、「信頼できる ID の伝播とは」を参照してください。

認証情報プロバイダー

AWS へのリクエストの認証に使用される認証情報プロバイダー。このパラメータの値を BrowserOidcTip に設定します。

IDP well known configuration URL

IDP Well Known Configuration URL は、ID プロバイダーの OpenID Connect 設定の詳細を提供するエンドポイントです。この URL は通常、.well-known/openid-configuration で終わり、認証エンドポイント、サポートされている機能、トークン署名キーに関する必須メタデータが含まれています。例えば、Okta を使用している場合、URL は https://your-domain.okta.com/.well-known/openid-configuration のようになります。

トラブルシューティング：接続エラーが発生した場合は、この URL がネットワークからアクセス可能なものであり、有効な OpenID Connect 設定 JSON を返すことを確認します。URL は、ドライバーがインストールされているクライアントが到達できるものでなければならず、ID プロバイダーの管理者から提供される必要があります。

クライアント識別子

OpenID Connect プロバイダーがアプリケーションに対して発行したクライアント識別子。

WorkgroupArn

信頼できる ID の伝搬設定タグを含む Amazon Athena ワークグループの Amazon リソースネーム（ARN）。ワークグループの詳細については、「ワークグループ」を参照してください。

JWT アプリケーションロール ARN

JWT 交換で継承されるロールの ARN。このロールは、JWT 交換、ワークグループタグによる IAM Identity Center カスタマーマネージドアプリケーション ARN の取得、アクセスロール ARN の取得に使用されます。ロールの引き受けの詳細については、「AssumeRole」を参照してください。

JWT ロールセッション名

IAM セッションの名前。どのようなものでもかまいませんが、通常は、アプリケーションを使用するユーザーに関連付けられている名前または識別子を渡します。そうすると、アプリケーションが使用する一時的なセキュリティ認証情報は、そのユーザーに関連付けられます。

クライアントシークレット

clientSecret は、アプリケーション（クライアント）の認証に利用している ID プロバイダーによって発行された機密キーです。このパラメータはオプションであり、すべての認証フローに必須ではない場合がありますが、使用するとセキュリティレイヤーが追加されます。IDP 設定にクライアントシークレットが必要な場合は、ID プロバイダー管理者から提供された値をこのパラメータに含める必要があります。

スコープ

スコープでは、アプリケーションが ID プロバイダーに要求するアクセス許可のレベルを指定します。重要なユーザー ID クレームを含む ID トークンを受け取るには、openid をスコープに含める必要があります。ID プロバイダー（Microsoft Entra ID など）が ID トークンに含めるように設定されているユーザークレームによっては、email や profile などの追加のアクセス許可をスコープに含める必要がある場合があります。これらのクレームは、適切な「信頼できる ID の伝搬」マッピングに不可欠です。ユーザー ID マッピングが失敗した場合、必要なすべてのアクセス許可がスコープに含まれており、必要なクレームを ID トークンに含めるように ID プロバイダーが設定されていることを確認します。これらのクレームは、IAM アイデンティティセンターの「信頼できるトークン発行者」マッピング設定と一致する必要があります。

ロールセッションの期間

ロールセッションの期間 (秒)。詳細については、「AssumeRoleWithWebIdentity」を参照してください。

JWT アクセスロール ARN

Athena がユーザーに代わって呼び出しを行うために引き受けるロールの ARN。引き受けるロールの詳細については、「AWS Security Token Service API リファレンス」の「AssumeRole」を参照してください。

IAM Identity Center カスタマーマネージドアプリケーション ARN

IAM Identity Center カスタマーマネージドアプリケーションの ARN。詳細については、「カスタマーマネージドアプリケーション」を参照してください。

ID プロバイダーのポート番号

OAuth 2.0 コールバックサーバーに使用するローカルポート番号。これは redirect_uri として使用されます。これを IDP アプリケーションの許可リストに登録する必要があります。デフォルトで生成される redirect_uri は、http://localhost:7890/athena です。

ID プロバイダーの応答タイムアウト

OAuth 2.0 コールバック応答を待機するタイムアウト（秒単位）。

トークンキャッシュを有効にする

EnableTokenCaching パラメータは、ドライバーが接続間で認証トークンをキャッシュするかどうかを決定します。EnableTokenCaching を true に設定すると、認証プロンプトが減るのでユーザーエクスペリエンスが向上しますが、慎重に使用する必要があります。この設定は、シングルユーザーデスクトップ環境に最適です。Windows Server などの共有環境では、同様の接続文字列を持つユーザー間でのトークン共有を予防するために、これを無効にしておくことをお勧めします。

Tableau Server などのツールを使用したエンタープライズデプロイの場合は、この認証方法の代わりに「JWT の信頼できる ID の伝搬」プラグインを使用することをお勧めします。