Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Configuración de la sincronización del correo electrónico para usuarios federados en Quick Suite

En la edición Amazon Quick Suite Enterprise, como administrador, puede impedir que los nuevos usuarios usen direcciones de correo electrónico personales cuando aprovisionen directamente a Quick Suite a través de su proveedor de identidad (IdP). A continuación, Quick Suite utiliza las direcciones de correo electrónico preconfiguradas que se transmiten a través del IdP al aprovisionar nuevos usuarios a su cuenta. Por ejemplo, puede hacer que solo se utilicen las direcciones de correo electrónico asignadas por la empresa cuando se aprovisionen usuarios a su cuenta de Amazon Quick Suite a través de su IdP.

Al configurar la sincronización del correo electrónico para los usuarios federados en Amazon Quick Suite, los usuarios que inician sesión en su cuenta de Amazon Quick Suite por primera vez tienen direcciones de correo electrónico preasignadas. Se utilizan para registrar sus cuentas. Con este enfoque, los usuarios pueden omitir manualmente esto ingresando una dirección de correo electrónico. Además, los usuarios no pueden usar una dirección de correo electrónico que pueda diferir de la dirección de correo electrónico que indique en calidad de administrador.

Amazon Quick Suite admite el aprovisionamiento a través de un IdP que admite la autenticación SAML u OpenID Connect (OIDC). Para configurar las direcciones de correo electrónico de los nuevos usuarios al aprovisionar a través de un IdP, debe actualizar la relación de confianza del rol de IAM que utilizan con AssumeRoleWithSAML o AssumeRoleWithWebIdentity. A continuación, agrega un atributo SAML o un token OIDC a su IdP. Por último, se activa la sincronización del correo electrónico para los usuarios federados en Amazon Quick Suite.

Los siguientes procedimientos describen los pasos de manera más detallada.

Paso 1: actualización de la relación de confianza del rol de IAM con AssumeRoleWithSAML o AssumeRoleWithWebIdentity

Puede configurar las direcciones de correo electrónico para que las utilicen sus usuarios al aprovisionar Amazon Quick Suite a través de su IdP. Para ello, agregue la acción sts:TagSession a la relación de confianza del rol de IAM que utilice con AssumeRoleWithSAML o AssumeRoleWithWebIdentity. De este modo, puede transferir etiquetas principal cuando los usuarios asuman el rol.

El siguiente ejemplo ilustra un rol de IAM actualizado en el que el IdP es Okta. Para utilizar este ejemplo, actualice el nombre de recurso de Amazon (ARN) Federated con el ARN de su proveedor de servicios. Puede reemplazar los elementos en rojo con su información específica del servicio AWS y del IdP.

{
    "Version": "2012-10-17"		 	 	 ,
    "Statement": [
    {
        "Effect": "Allow",
        "Principal": {
        "Federated": "arn:aws:iam::account-id:saml-provider/Okta"
        },
        "Action": "sts:AssumeRoleWithSAML",
        "Condition": {
        "StringEquals": {
            "SAML:aud": "https://signin.aws.amazon.com/saml"
        }
        }
    },
    {
        "Effect": "Allow",
        "Principal": {
        "Federated": "arn:aws:iam::account-id:saml-provider/Okta"
        },
        "Action": "sts:TagSession",
        "Condition": {
        "StringLike": {
            "aws:RequestTag/Email": "*"
        }
        }
    }
    ]
    }

Paso 2: adición de un atributo SAML o un token OIDC para la etiqueta de la entidad principal de IAM en su IdP

Tras actualizar la relación de confianza del rol de IAM como se describe en la sección anterior, agregue un atributo SAML o un token OIDC para la etiqueta Principal de IAM en su IdP.

Los siguientes ejemplos ilustran un atributo SAML y un token OIDC. Para usar estos ejemplos, reemplace la dirección de correo electrónico por una variable en su IdP que apunte a la dirección de correo electrónico de un usuario. Puede reemplazar los elementos resaltados en rojo por su información.

Paso 3: Activa la sincronización del correo electrónico para los usuarios federados en Amazon Quick Suite

Como se ha descrito anteriormente, actualice la relación de confianza del rol de IAM y agregue un atributo SAML o un token OIDC para la etiqueta Principal de IAM en su IdP. A continuación, active la sincronización del correo electrónico para los usuarios federados en Amazon Quick Suite tal y como se describe en el siguiente procedimiento.