Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Konfiguration der E-Mail-Synchronisierung für Verbundbenutzer in Quick Suite

In der Amazon Quick Suite Enterprise Edition können Sie als Administrator verhindern, dass neue Benutzer persönliche E-Mail-Adressen verwenden, wenn sie die Bereitstellung über ihren Identitätsanbieter (IdP) direkt an Quick Suite vornehmen. Quick Suite verwendet dann die vorkonfigurierten E-Mail-Adressen, die über den IdP weitergegeben wurden, wenn neue Benutzer für Ihr Konto bereitgestellt werden. Sie können beispielsweise festlegen, dass nur vom Unternehmen zugewiesene E-Mail-Adressen verwendet werden, wenn Benutzer über Ihren IdP Ihrem Amazon Quick Suite-Konto zugewiesen werden.

Wenn Sie die E-Mail-Synchronisierung für Verbundbenutzer in Amazon Quick Suite konfigurieren, haben Benutzer, die sich zum ersten Mal bei Ihrem Amazon Quick Suite-Konto anmelden, vorab zugewiesene E-Mail-Adressen. Diese werden verwendet, um ihre Konten zu registrieren. Bei diesem Ansatz können die Nutzer den Zugang manuell durch Eingabe einer E-Mail-Adresse umgehen. Außerdem können die Benutzer keine E-Mail-Adresse verwenden, die sich von der von Ihnen, dem Administrator, angegebenen E-Mail-Adresse unterscheidet.

Amazon Quick Suite unterstützt die Bereitstellung über einen IdP, der die SAML- oder OpenID Connect (OIDC) -Authentifizierung unterstützt. Um E-Mail-Adressen für neue Benutzer bei der Bereitstellung über einen Identitätsanbieter zu konfigurieren, aktualisieren Sie die Vertrauensbeziehung für die IAM-Rolle, die sie mit AssumeRoleWithSAML oder AssumeRoleWithWebIdentity verwenden. Dann fügen Sie ihrem Identitätsanbieter ein SAML-Attribut oder ein OIDC-Token hinzu. Zuletzt aktivieren Sie die E-Mail-Synchronisierung für Verbundbenutzer in Amazon Quick Suite.

Das folgende Verfahren beschreibt diese Schritte im Detail.

Schritt 1: Aktualisieren Sie die Vertrauensbeziehung für die IAM-Rolle mit AssumeRoleWithSAML oder AssumeRoleWithWebIdentity

Sie können E-Mail-Adressen für Ihre Benutzer konfigurieren, die sie bei der Bereitstellung über Ihren IdP für Amazon Quick Suite verwenden. Fügen Sie dazu die sts:TagSession-Aktion zur Vertrauensbeziehung für die IAM-Rolle hinzu, die Sie mit AssumeRoleWithSAML oder AssumeRoleWithWebIdentity verwenden. Auf diese Weise können Sie principal-Tags übergeben, wenn Benutzer die Rolle übernehmen.

Das folgende Beispiel zeigt eine aktualisierte IAM-Rolle, bei der der Identitätsanbieter Okta ist. Um dieses Beispiel zu verwenden, aktualisieren Sie den Federated-Amazon-Ressourcennamen (ARN) mit dem ARN Ihres Dienstanbieters. Sie können rot markierte Artikel durch Ihre AWS und IdP-dienstspezifische Informationen ersetzen.

{
    "Version": "2012-10-17"		 	 	 ,
    "Statement": [
    {
        "Effect": "Allow",
        "Principal": {
        "Federated": "arn:aws:iam::account-id:saml-provider/Okta"
        },
        "Action": "sts:AssumeRoleWithSAML",
        "Condition": {
        "StringEquals": {
            "SAML:aud": "https://signin.aws.amazon.com/saml"
        }
        }
    },
    {
        "Effect": "Allow",
        "Principal": {
        "Federated": "arn:aws:iam::account-id:saml-provider/Okta"
        },
        "Action": "sts:TagSession",
        "Condition": {
        "StringLike": {
            "aws:RequestTag/Email": "*"
        }
        }
    }
    ]
    }

Schritt 2: Fügen Sie ein SAML-Attribut oder ein OIDC-Token für das IAM-Prinzipal-Tag in Ihrem Identitätsanbieter hinzu

Nachdem Sie die Vertrauensbeziehung für die IAM-Rolle wie im vorangegangenen Abschnitt beschrieben aktualisiert haben, fügen Sie ein SAML-Attribut oder ein OIDC-Token für das IAM-Principal-Tag in Ihrem Identitätsanbieter hinzu.

Die folgenden Beispiele veranschaulichen ein SAML-Attribut und ein OIDC-Token. Um diese Beispiele zu verwenden, ersetzen Sie die E-Mail-Adresse durch eine Variable in Ihrem Identitätsanbieter, die auf die E-Mail-Adresse eines Benutzers verweist. Sie können rot hervorgehobene Elemente durch Ihre Informationen ersetzen.

Schritt 3: E-Mail-Synchronisierung für Verbundbenutzer in Amazon Quick Suite aktivieren

Aktualisieren Sie, wie oben beschrieben, die Vertrauensbeziehung für die IAM-Rolle und fügen Sie ein SAML-Attribut oder ein OIDC-Token für das IAM-Principal-Tag in Ihrem Identitätsanbieter hinzu. Aktivieren Sie dann die E-Mail-Synchronisierung für Verbundbenutzer in Amazon Quick Suite, wie im folgenden Verfahren beschrieben.