--- schema_version: "1" id: e3dff2cf3550b92cea02fea7b609d0b1464a1a42b9371c9e2b2a1275aeafba7a title: Amazon Athena IAM OAuth の設定 collection: tableau version: current locale: ja-jp portal_url: https://docs.salesforce.com/tableau/current/ja-jp/pro/desktop/amazon_athena_idp.md canonical_url: https://help.tableau.com/current/pro/desktop/ja-jp/amazon_athena_idp.htm source_site: help.tableau.com content_type: documentation content_hash: 122b91b97b1599d4a4d82f30de32d03818b0a3c798a46f3adddf90eda2f537f7 description: Set up OAuth 2.0/OIDC identity federation from an external IdP to Amazon Athena for Tableau. --- [メイン コンテンツに進む](#main-content) # Amazon Athena IAM OAuth の設定 Tableau 2023.2 以降では、OAuth 2.0/OIDC を使用して、外部の ID プロバイダー (IdP) から Amazon Athena に ID をフェデレートすることができます。 ID プロバイダーによって、統合を設定するために必要な手順は異なります。Tableau では、Tableau 製品の設定方法に関する手順のみを詳しく提供します。ID プロバイダー (Okta など) を構成する方法については、その製品のヘルプとチュートリアルを参照してください。このドキュメントでは、設定プロセスの概要を説明します。 **注**: Tableau Cloud への Tableau Bridge を使用した OAuth 接続では、1 回のみ使用可能な更新トークン (ローリング更新トークンまたは更新トークンのローテーションと呼ばれることもあります) はサポートされていません。これらのトークンは今後のリリースでサポートされる予定です。 **注:** Tableau および Salesforce の内容以外の手順とリンクは、更新されていないか、正確ではない可能性があります。 ## ID プロバイダー (IdP) の設定 1. IDP に Tableau Desktop および Tableau Server の OAuth クライアントを作成します。Desktop クライアントは [PKCE](https://auth0.com/docs/get-started/authentication-and-authorization-flow/authorization-code-flow-with-pkce) を有効にし、[http://localhost](http://localhost/) リダイレクトを使用します。 2. ロールを承認するために必要なカスタム クレームを追加します。クレームとスコープの詳細については、「[スコープとクレーム](https://curity.io/resources/learn/scopes-vs-claims/)」を参照してください。 3. Tableau OAuth 構成ファイルを作成します。作成方法の詳細については、[「GitHub」](https://tableau.github.io/connector-plugin-sdk/docs/oauth)の「[OAuth の設定と使用方法](https://tableau.github.io/connector-plugin-sdk/docs/oauth)」(英語)、および[こちらの](https://github.com/tableau/connector-plugin-sdk/tree/master/samples/components/oauth)例を参照してください。Tableau OAuth 構成 ID には必ず「custom\_」というプレフィックスを付けてください。 4. 上記リンクの OAuth 設定トピックで説明されているように、Tableau Desktop マシン、Tableau Server、Tableau Cloud サイトに Tableau OAuth 設定ファイルをインストールします。 ## AWS で IDP を構成する 1. IDP エンティティを作成します。Amazon ドキュメントの[「Web ID フェデレーション」](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_providers_oidc.html)、[「OIDC ID プロバイダーの作成」](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_providers_create_oidc.html)を参照してください。 2. IDP は、Tableau のドライバー プラグインと連携して Athena にフェデレートするように構成する必要があります。次のプロバイダー情報は、Tableau Server フローと Tableau Desktop フローの両方で使用されます。 AwsCredentialsProviderClass=com.simba.athena.iamsupport.plugin.JwtCredentialsProvider role\_session\_name=AthenaJWT 3. IDP 専用のロールとポリシーを作成します。AWS ドキュメントの[「OIDC のロールの作成」](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-idp_oidc.html)を参照してください。 ## Athena のロールを設定する Athena に必要なポリシーをアタッチします。これを行うには多くの方法があります。1 つの方法として、カスタム クレームを使用します。OpenID トークンでカスタム クレームを使用して、ロールに権限を付与できます。これらのロールには、他のリソースへのアクセス権が付与されます。詳細については以下を参照してください。 - チュートリアル: [Lake Formation および JDBC を使用して Okta ユーザーの Athena へのフェデレーション アクセスを構成する](https://docs.aws.amazon.com/ja_jp/athena/latest/ug/security-athena-lake-formation-jdbc-okta-tutorial.html) - [「AWS Glue データカタログのデータベースとテーブルへのきめ細かいアクセス」](https://docs.aws.amazon.com/athena/latest/ug/fine-grained-access-to-glue-resources.html) ## Athena に接続する ユーザーは、引き受ける AWS ロール ARN (Amazon Resource Name) を指定し、\[OAuth プロバイダー\] で先ほどインストールした OAuth 構成を選択する必要があります。構成を選択するためのドロップダウン メニューは、選択できる構成が複数ある場合にのみ表示されることに注意してください。 適切に設定されていると、ユーザーは IDP にリダイレクトされ、Tableau のトークンが認証および認可されます。Tableau は openid トークンとリフレッシュ トークンを受け取ります。AWS は、IDP からのトークンと署名を検証し、トークンからクレームを抽出して、IAM ロールへのクレームのマッピングを検索し、Tableau がユーザーに代わってロールを引き受けることを許可または拒否します。 [例: AssumeRoleWithWebIdentity](https://docs.aws.amazon.com/STS/latest/APIReference/API_AssumeRoleWithWebIdentity.html) ![Athena ウィンドウにログインする](/tableau/current/ja-jp/pro/desktop/ja-jp/Img/athenaidp_signin.png) ## トークン 既定では、Athena OAuth IAM は ID トークンをドライバーに渡します。オンプレミスのお客様 (Tableau Bridge を使用しているお客様を含みます) の場合は、代わりに TDC ファイルを使用してアクセス トークンを渡すこともできます。 .tdc ファイルの設定とインストールの詳細については、「[接続のカスタマイズと微調整](https://help.tableau.com/current/pro/desktop/ja-jp/connect_customize.htm)」を参照してください。 ## Okta の構成 Okta を使用する場合は、「組織認可サーバー」ではなく「カスタム認可サーバー」を使用することをお勧めします。カスタム認可サーバーはより柔軟です。デフォルトで作成されたカスタム認可サーバーがあり、これは「デフォルト」と呼ばれます。認可 URL は次の例のようになります。 `https://${yourOktaDomain}/oauth2/{authServerName}/v1/authorize` ![Okta ダッシュボード](/tableau/current/ja-jp/pro/desktop/ja-jp/Img/athena_okta.png)