技術連携と運用
AWS MarketplaceのSaaS Quick Launchとは？購入後のAWS環境設定を簡単にする仕組み
公開日:
この記事の要点
SaaS Quick Launchは、購入者のAWSアカウントにAWS CloudFormationテンプレートでリソースを展開するための、販売者が製品設定で有効にする受け入れ方法です。AWS Identity and Access Management（AWS IAM）のロールなど、購入者側に必要なリソースを、案内付きの手順で作成できます。対応する製品では、購入者はQuick Launchと手動設定を選べます。購入者の登録やログインを受け付けるFulfillment URLの仕組みとは役割が異なるため、自社SaaSが購入者のAWSリソースを使うかどうかで、必要かを判断します。
自社のSaaSが、購入者のAWSアカウントにAWS IAMのロールを必要とするとします。購入者にロールの作成手順書を渡し、できあがったロールの情報を返してもらう運用は、購入者にとっても販売者にとっても手間がかかります。この設定を、AWS Marketplaceの購入後の画面で、案内付きで済ませられるようにする仕組みが、SaaS Quick Launchです。販売者が製品設定として用意するもので、購入者のAWSアカウントにAWS CloudFormationのテンプレートでリソースを展開します。（購入者ガイド（Quick Launch））
ただし、購入後の登録フォームや、Fulfillment URL（購入後に購入者が遷移する登録先のURL）の仕組みとは、役割が異なります。本記事は、SaaS Quick Launchが何を設定し、販売者が何を用意し、購入者に何が求められるのかを整理します。一般的な購入手順はAWS Marketplaceでの購入の流れに任せ、ここでは販売者側の準備と、購入者アカウントへのリソース展開に絞ります。
本記事の内容は、2026年10月28日に確認したAWSの公式ドキュメントにもとづきます。仕様は変わることがあるため、判断の前には各出典で最新の内容を確認してください。
SaaS Quick Launchの用途と、導入に向くSaaS
SaaS Quick Launchは、SaaS製品の受け入れ方法として販売者が選べるデプロイのオプションです。購入者に、案内付きの手順と、AWS CloudFormationのテンプレートによるリソースの展開を提供します。（SaaS製品の設定）AWSの購入者ガイドは、設定、デプロイ、起動に要する時間、リソース、手順を減らす仕組みと説明しています。（購入者ガイド（Quick Launch））
向いているのは、SaaSの動作に、購入者のAWSアカウントのリソースが必要な構成です。販売者向けの設定ページは、AWS Marketplaceに掲載されたSaaS製品には、購入者のアカウントにAWSリソースの展開が必要になるものが多いとして、AWS IAMのロールを例に挙げています。（SaaS製品の設定）たとえば、SaaSが購入者のAWSアカウントのデータを読み取る構成や、アプリケーションプレーンの一部を購入者のアカウントに置く構成です。
SaaS製品のガイドラインも、この構成を想定しています。購入者のインフラにリソースが必要なアプリケーションには、次の条件が挙げられています。（SaaS製品のガイドライン）
- コントロールプレーンは、販売者が管理するインフラに置く
- 購入者のAWS Marketplaceの取引とは別に、AWSのインフラ料金が発生し得ることを、製品の説明で購入者に伝える
- AWS Security Token ServiceやAWS IAMなどで、安全にリソースを用意する
- 購入者のアカウントに権限を与えるテンプレートや手順は、最小権限の原則に従う
- 用意するAWSサービス、AWS IAMのポリシー、ロールやユーザーの使われ方を説明する文書を提供する
- 購入者がリソースを展開するための手順またはテンプレートを提供する
このうち、購入者がリソースを展開する方法は、「手順またはテンプレート」と書かれています。テンプレートを提供する場合に限り、そのテンプレートはSaaS Quick Launchの方法で、SaaSの掲載と一緒に公開します。（SaaS製品のガイドライン）つまり、購入者のアカウントにリソースを用意する構成であっても、テンプレートを出さずに手順書だけで案内する選択肢が、ガイドライン上は残っています。購入者のAWS環境にどのような構成を置けるかという掲載条件の全体は、AWS以外のSaaSもAWS Marketplaceに出品できる？で整理しています。
なお、SaaS Quick Launchが必要になるのは、購入者のAWSアカウントにリソースを用意する構成に限られます。自社SaaSが購入者のAWSリソースを使わない構成なら、購入後の登録だけで足り、SaaS Quick Launchを用意する理由はありません。
通常の購入後登録とSaaS Quick Launchの違い
通常の購入後登録は、販売者のSaaSの側で、購入者を特定してアカウントを用意するための仕組みです。SaaS Quick Launchは、購入者のAWSアカウントの側に、リソースを用意するための仕組みです。二つは、設定する対象が異なります。
| 観点 | 通常の購入後登録（Fulfillment URLと登録フォーム） | SaaS Quick Launch |
|---|---|---|
| 設定する対象 | 販売者のSaaS内の、購入者のアカウントと契約の対応 | 購入者のAWSアカウントのリソース（たとえばAWS IAMのロール） |
| どこで動くか | 販売者のSaaSの登録ページ | 購入者のAWSアカウントのAWS CloudFormationスタックと、AWS Marketplaceの「Configure and launch」ページ |
| 販売者が用意するもの | Fulfillment URL、登録ページ、AWS Marketplaceの各APIを呼び出す実装 | AWS CloudFormationテンプレート、ログインのURL、起動後のURL、必要なAWS IAMの権限。任意で手動設定の手順 |
| 製品設定での入口 | 「Update fulfillment options」の、既定のFulfillment URL | 「Fulfillment options」タブの「Quick Launch」 |
| 買い手の操作 | 「Set Up Your Account」から、販売者の登録ページに遷移し、アカウントを作成またはログインする | 権限を確認し、販売者のサイトでログインし、Quick Launchか手動かを選び、ソフトウェアを起動する |
| 買い手に求められるAWSの権限 | 確認した範囲では、追加の権限の記載はない | サービスにリンクされたロールの作成やシークレットの参照など、六つの権限 |
| 買い手の選択肢 | なし | 対応製品では、Quick Launchと手動設定から選べる |
| 公開までの確認 | 製品設定の変更リクエスト | 限定公開で検証したのち、公開する際にAWS Marketplace Seller Operationsが設定を確認し、購入者の立場でテストする |
表の出典は、通常の購入後登録の欄がSaaSの顧客オンボーディング、SaaS製品の設定、SaaS Quick Launchの欄が購入者ガイド（Quick Launch）とSaaS製品の設定です。
通常の購入後登録では、購入者のブラウザが、Fulfillment URLにHTTP POSTで送られます。リクエストには、x-amzn-marketplace-tokenというトークンが付き、販売者はそのトークンをResolveCustomer APIに渡して、購入者のAWSアカウントID、LicenseArn、製品コードを取得します。（SaaSの顧客オンボーディング）この登録の実装は、AWS MarketplaceのSaaS連携に必要な実装で扱っています。
SaaS Quick Launchの購入者の流れは、「Set Up Your Account」から「Configure and launch」のページに進むところから始まります。通常の購入後登録では、購入者がFulfillment URLに遷移するため、進み先が異なります。（購入者ガイド（Quick Launch）、SaaSの顧客オンボーディング）
AWS CloudFormationとMarketplace Deployment APIの役割
SaaS Quick Launchでは、二つの部品が別々の役割を持ちます。
AWS CloudFormationテンプレートは、購入者のAWSアカウントに展開するリソースを定義する
販売者は、購入者のAWSアカウントに展開するリソースを、AWS CloudFormationのテンプレートで定義します。購入者は、そのテンプレートを使って、製品を設定し、起動します。（購入者ガイド（Quick Launch））
製品設定でテンプレートを追加するときに入力する項目は、次のとおりです。（SaaS製品の設定）
- タイトル（AWS CloudFormationのデプロイの名前）
- 説明
- スタック名（購入者のAWS CloudFormationに表示されるスタック名）
- テンプレートのURL
- 必要なAWS IAMの権限（テンプレートを展開するために必要な権限）
公式の設定ページは、購入者の起動手順を簡単にするため、テンプレートの数を絞り、理想的には製品の利用に必要なリソースを展開する1つのテンプレートにまとめるよう勧めています。テンプレートについて不明な点があれば、AWS Marketplaceの担当者か、AWS Marketplace Seller Operationsに問い合わせるよう案内されています。（SaaS製品の設定）
テンプレートの作り方については、設定ページがAWS Well-Architected Frameworkに従うよう促しています。（SaaS製品の設定）SaaS製品のガイドラインは、AWS CloudFormationのテンプレートを購入者のアカウントへの展開に使う場合、AWS MarketplaceのAWS CloudFormationテンプレートのポリシーに従うよう求めています。（SaaS製品のガイドライン）そのポリシーのページは、主にAmazon Machine Imageを提供する製品向けに書かれており、SaaSのQuick Launch専用ではありません。そのページには、次のような項目があります。（AWS CloudFormationテンプレートの追加）
- テンプレートの入力パラメータに、購入者のAWS認証情報（パスワード、秘密鍵、証明書など）を含めない
- パスワードのような機密性の高い入力パラメータには、
NoEchoを設定する - 長期のアクセスキーを、購入者に求めたり、テンプレートで作成したりしない。AWSサービスへのアクセスが必要な場合は、AWS IAMのロールを使う
- AWS IAMのロールとポリシーは、最小権限にし、書き込み権限は本当に必要な場合にだけ有効にする
これらがSaaS Quick Launchのテンプレートにも同じ形で適用されるかは、そのページに明記されていません。SaaS製品として提出するテンプレートに、どの項目が必要かは、AWS Marketplace Seller Operationsに確認してください。
Marketplace Deployment APIは、購入者ごとの値を購入者のアカウントに渡す
AWS Marketplace Deployment Serviceは、販売者が購入者にデプロイパラメータを渡すためのAPIです。操作は、PutDeploymentParameter、ListTagsForResource、TagResource、UntagResourceの四つです。（AWS Marketplace Deployment Serviceの操作）このうち、Quick Launchの設定ページが案内しているのは、PutDeploymentParameterです。製品が、APIキーや外部IDのような、販売者が提供するAWS CloudFormationのデプロイパラメータを必要とする場合に、この操作で購入者にパラメータを共有します。（SaaS製品の設定）
PutDeploymentParameterは、catalog（固定値はAWSMarketplace）とagreementIdを指定して、デプロイパラメータを作成または更新します。リクエストには、製品ID、契約ID、パラメータ名とシークレットの文字列が必須で、有効期限（expirationDate）は任意です。（PutDeploymentParameter）パラメータの値は、購入者のアカウントのAWS Secrets Managerのシークレットとして保存されます。（PutDeploymentParameter）
パラメータ名には、注意が要ります。AWSのAPIリファレンスは、Quick LaunchでAWS CloudFormationの動的参照を使えるようにするには、この名前を、購入者に提供するテンプレートに定義したパラメータと一致させる必要があると記しています。同じ名前のパラメータがすでにあれば、このリクエストは既存のパラメータを更新します。（DeploymentParameterInput）なお、シークレットの文字列は1文字以上15,000文字以下です。（DeploymentParameterInput）
購入者ごとに値が変わるものは、テンプレートに直接書かず、このAPIで渡す設計になります。たとえば、購入者ごとに異なる外部IDを、購入者のアカウントに作るAWS IAMのロールの信頼ポリシーに使う場合です。呼び出しの前提は、二つあります。
一つは、購入者側のサービスにリンクされたロールです。PutDeploymentParameterを呼ぶ前に、購入者がAWSServiceRoleForMarketplaceDeploymentを作成しておく必要があります。購入者は、Quick Launchの設定を進める画面の案内に沿って、このロールを作ります。（Deployment APIのアクセス制御）つまり、購入の通知を受けた直後に呼ぶ設計では、購入者がまだ設定画面を進めておらず、このロールが未作成であり得ます。
もう一つは、販売者側のAWS IAMの権限です。PutDeploymentParameterを呼ぶには、aws-marketplace:PutDeploymentParameterが必要です。リクエストに任意のtagsを含める場合は、aws-marketplace:TagResourceも必要です。（Deployment APIのアクセス制御）
この二つの前提とは別に、このAPIを呼ぶ具体的なタイミング、つまり、購入の通知を受けてからパラメータを送るのか、別の仕組みで送るのかは、公式ページに記載がありません。ロールが作成された後に呼べる設計にするか、失敗したときに再試行できる設計にするかは、自社で決めることになります。実装の前に、AWS Marketplace Seller Operationsなどに確認してください。
必要な権限と、買い手が選ぶ設定方法
買い手に必要な権限
購入者が「Configure and launch」のページで最初に行うのは、必要なAWSの権限があることの確認です。購入者ガイドは、Quick Launchの全機能を使うために、次の権限を挙げています。（購入者ガイド（Quick Launch））
| 購入者ガイドの表記 | ポリシーに書くIAMアクション | 公式ドキュメントでの用途 |
|---|---|---|
| CreateServiceLinkedRole | iam:CreateServiceLinkedRole | AWS Marketplaceが、サービスにリンクされたロール（AWSServiceRoleForMarketplaceDeployment）を作成できるようにする。このロールで、AWS Marketplaceは、デプロイに関するパラメータ（AWS Secrets Managerのシークレット）を購入者に代わって管理する |
| DescribeSecrets | secretsmanager:DescribeSecret | 販売者が渡したデプロイパラメータの情報を取得できるようにする |
| GetRole | iam:GetRole | サービスにリンクされたロールが、アカウントにすでに作成されているかを判断できるようにする |
| ListSecrets | secretsmanager:ListSecrets | デプロイパラメータの状態を取得できるようにする |
| ListRegions | account:ListRegions | 現在のアカウントで有効になっているAWSリージョンを取得できるようにする |
| ReplicateSecrets | secretsmanager:ReplicateSecretToRegions | ソフトウェアを展開するリージョンへ、シークレットのレプリケーションを開始できるようにする |
左の列は、購入者ガイドの表記をそのまま並べたものです。注意が要るのは、この表記が、AWS IAMのポリシーに書くアクション名とは一致しない点です。DescribeSecretsとReplicateSecretsという名前のアクションは存在せず、正しくはsecretsmanager:DescribeSecretとsecretsmanager:ReplicateSecretToRegionsです。（AWS Secrets ManagerのIAMアクション一覧）CreateServiceLinkedRoleとGetRoleはAWS IAMのアクションで接頭辞がiam、ListRegionsはAWS Account Managementのアクションで接頭辞がaccountです。（AWS IAMのIAMアクション一覧、AWS Account ManagementのIAMアクション一覧）購入者が自社のAWS管理者に権限を依頼するときは、中央の列の名前で伝えると、そのままポリシーに書けます。
権限が足りないときは、購入者のAWS管理者に依頼するよう案内されています。（購入者ガイド（Quick Launch））購入者の調達担当やAWS管理者は、販売者から「Quick Launchでの設定にはAWS管理者の権限が要る」と伝えられると、購入前から準備できます。製品ページや導入ガイドで、必要な権限を事前に案内しておくことをお勧めします。
もう一つ、別の権限があります。販売者は、製品設定の「Required IAM permissions」に、テンプレートの展開に必要なAWS IAMの権限を記載します。デプロイパラメータを購入者に共有する場合は、そのポリシーに、AWS Secrets Managerの次の操作を含める必要があります。（SaaS製品の設定）
secretsManager:ListSecretssecretsManager:DescribeSecretsecretsManager:ReplicateSecretToRegionssecretsManager:GetSecretValue
この四つは、設定ページの表記をそのまま引いたものです。接頭辞がsecretsManager（Mが大文字）になっていますが、AWS Secrets ManagerのIAMの接頭辞は、小文字のsecretsmanagerです。（AWS Secrets ManagerのIAMアクション一覧）ポリシーに書くときは、小文字にします。
購入者ガイドの一覧と、販売者向けの設定ページの一覧は、表記も内容も一致していません。購入者ガイドが挙げるのはQuick Launchの画面を使うための権限で、設定ページが挙げるのはテンプレートの展開に必要な権限として販売者が記載するものです。二つの対応関係は、公式ドキュメントに書かれていないため、実際の画面での表示とあわせて確認してください。
買い手が選ぶ設定方法
「Configure and launch」のページは、次の4つのステップで進みます。（購入者ガイド（Quick Launch））
- 必要なAWSの権限があることを確認する
- 販売者のサイトで、既存のアカウントにログインするか、新しいアカウントを作成する
- ソフトウェアとAWSの連携の設定方法を、Quick Launchか手動かから選ぶ
- 「Launch software」でソフトウェアを起動する
ステップ3で、購入者は、Quick Launchで素早く設定するか、販売者が提供する手順で手動設定するかを選びます。（購入者ガイド（Quick Launch））販売者は、手動で設定する購入者のために、手動設定の手順を、任意の項目として製品設定に記載できます。手順には、製品の導入ガイドやドキュメントへのリンクを含めることが勧められています。（SaaS製品の設定）
Quick Launchに対応した製品には、製品説明に「Quick Launch」のバッジが付きます。購入者は、AWS Marketplaceの検索ページで、「SaaS」と「CloudFormation template」のフィルターを使えば、この体験を持つ製品を探せます。（購入者ガイド（Quick Launch））
販売者のテンプレートの準備と、購入後の登録との関係
製品設定で用意すること
SaaS Quick Launchの設定は、AWS Partner Centralの「SaaS Products」から、対象の製品の「Fulfillment options」タブで行います。設定できるのは、限定公開（Limited）か公開（Public）の状態の製品です。（SaaS製品の設定）次の項目を入力します。（SaaS製品の設定）
| 項目 | 内容 |
|---|---|
| Account login details | 購入者がログインまたはアカウントを作成する、販売者のサイトのURL。購入者の画面では新しいタブで開く |
| CloudFormation template | タイトル、説明、スタック名、テンプレートのURL、必要なAWS IAMの権限 |
| Manual configuration instructions（任意） | 手動で設定する購入者向けの手順 |
| Launch details | AWS CloudFormationのスタックを展開したあとに、購入者が製品へアクセスするURL |
| Allowlisted accounts for Quick Launch（任意） | 限定公開の間にQuick Launchを見られるAWSアカウントのリスト（カンマ区切り） |
設定を送信すると、Quick Launchは限定公開になり、販売者のアカウントと許可リストのアカウントにだけ見えます。この状態で、製品を購読して「Set up your account」を選び、「Configure and launch」のページで動作を検証できます。購入者の画面の見え方は、「Preview」で確認できます。（SaaS製品の設定）
公開する準備ができたら、「Update Quick Launch visibility」で公開に変更します。このとき、AWS Marketplace Seller Operationsが設定を確認し、購入者の立場でテストをして、公開します。（SaaS製品の設定）設定の流れの実習は、AWSが「Enable SaaS Quick Launch」のワークショップとして案内しています。（SaaS製品の設定）
購入後の登録との関係
製品設定のページは、購入者に製品を使ってもらう方法として、SaaSのURLによる受け入れ（Fulfillment URL）と、Quick Launchを並べて挙げています。（SaaS製品の設定）一方、SaaS製品のガイドラインは、すべてのSaaS製品に、購入後の体験の条件を定めています。購入後に購入者がSaaS内でアカウントを作成してWebコンソールにアクセスできること、すでにアカウントがある購入者がフルフィルメントのランディングページからログインできること、契約の状況をSaaS内で確認できることなどです。（SaaS製品のガイドライン）購入者の登録ページには、メールアドレスの入力欄も必要です。（SaaS製品のガイドライン）SaaS Quick Launchを使う場合も、SaaSの側で購入者のアカウントを用意し、ログインさせる処理は、引き続き自社で実装することになります。
契約の変更や終了の通知は、また別の仕組みです。販売者は、販売者として登録する際にAmazon EventBridgeのルールを設定し、購入者の購読や解約、契約の作成、更新、終了の通知を受け取ります。（SaaSの顧客オンボーディング）購入後の登録、契約内容の確認、契約変更の通知の処理の全体は、AWS MarketplaceのSaaS連携に必要な実装で整理しています。契約をSaaSのテナントに結び付ける設計は、AWS Marketplaceの契約をSaaSテナントに紐付けるには？で扱っています。
公式ドキュメントで確認できなかった点もあります。SaaS Quick Launchを有効にした製品で、「Account login details」のURLが、通常の登録URLと同じようにx-amzn-marketplace-tokenを受け取るのか、購入者のAWSアカウントIDやLicenseArnを、どの時点でどう特定するのかは、確認した範囲のページに書かれていません。Quick Launchと登録処理を併用する設計は、AWS Marketplace Seller Operationsに確認してから進めてください。
また、購入の入口がAWS Marketplaceの外のStorefrontであっても、購入後は、製品に設定した受け入れ方法に沿って進みます。Storefrontの概要は、AWS MarketplaceのStorefrontとは？で扱っています。
作る前に確認すべきことと、次に取る行動
SaaS Quick Launchを用意するかどうかは、次の順に確認すると判断できます。
- 自社SaaSが、購入者のAWSアカウントにリソース（AWS IAMのロールなど）を必要とするか。必要としなければ、SaaS Quick Launchは不要です
- 必要とする場合、手順書だけで案内するか、AWS CloudFormationのテンプレートを提供するか。テンプレートを提供するなら、SaaS Quick Launchの方法で公開します
- テンプレートに入れるリソースと、購入者に必要なAWS IAMの権限、購入者ごとに渡す値（APIキーや外部IDなど）を洗い出す。購入者ごとの値があるなら、Marketplace Deployment APIで渡す設計にします
- 手動設定の手順と、必要な権限の案内を、購入者の調達担当やAWS管理者向けに用意する
- 限定公開の状態で、許可リストのアカウントを使って「Configure and launch」のページを検証し、公開に進む
- 購入後の登録、契約の同期、権限の反映は、Quick Launchとは別に自社で実装する
なお、SaaS Quick Launchで展開したリソースのために、購入者のAWSアカウントにAWSの利用料が発生し得ることは、製品の説明で購入者に伝える必要があります。（SaaS製品のガイドライン）
Deshimaで扱える範囲
SaaS Quick Launchの設定は、AWS Partner Centralで販売者が行う作業です。Deshimaの利用申請フォームがSaaS Quick Launchを自動で提供するわけではなく、2026年10月28日時点の対応範囲としても、Quick Launchの提供を案内していません。購入者のAWSアカウントに展開するリソースの設計や、AWS CloudFormationテンプレートの用意は、自社で進めることになります。
一方、購入後の登録と契約の同期は、連携の範囲を整理する際の別の論点です。購入後の登録と契約の同期も含めて連携の範囲を整理するには、まずAWS MarketplaceのSaaS連携に必要な実装で必要な実装を確認します。そのうえで、Deshimaの現在の導入方法と、自社の構成に適合するかを確認できます。
Deshimaは、購入者と契約の情報の取得と同期、利用申請フォーム、Amazon EventBridgeへのイベント発行を担います。自社SaaSでは、そのイベントを既存のユーザーやテナントに結び付け、契約に応じた機能、数量、利用可否を反映する処理を実装します。具体的な分担は、導入する構成に応じてご確認ください。
2026年10月28日時点の対応範囲は、SaaS Contract型のみです。従量課金（メータリング）とChannel Partner Private Offer（CPPO）は対象外で、Concurrent Agreementsには対応済みです。対応範囲はトップページのFAQに、料金の考え方は料金のセクションに記載しています。
Deshimaの利用料は、初期費用と月額費用がどちらも0円で、費用が発生するのは製品が売れたときの販売手数料のみです。料率は個別にご提案しています。AWS Marketplaceの販売手数料、自社側の実装と運用の工数、必要なAWSリソースの費用は別にかかります。
購入者のAWSリソースを使わない構成のSaaSであれば、本記事のSaaS Quick Launchは必要ありません。その場合は、購入後の登録と契約の同期に絞って、連携の範囲を検討できます。
Deshimaは更新が多いため、最新の機能と対応範囲は、無料のアカウントを作成したうえで、プロダクト内のドキュメントでご確認ください。