Règle de réclamation AD FS et paramètres SAML - Guide de l'utilisateur avancé d'AMS
Configurations des règles de réclamation ADFSconsole WebAccès à l'API et à la CLI avec SAML

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Règle de réclamation AD FS et paramètres SAML

ActiveDirectory Règle de réclamation des services de fédération (AD FS) et paramètres SAML pour AWS Managed Services (AMS)

Pour step-by-step obtenir des instructions détaillées sur l'installation et la configuration d'AD FS, voir Activation de la fédération sur AWS à l'aide de Windows Active Directory, ADFS et SAML 2.0.

Configurations des règles de réclamation ADFS

Si vous disposez déjà d'une implémentation ADFS, configurez les éléments suivants :

  • Fier sur la confiance des parties

  • Règles relatives aux réclamations

Les règles relatives à la confiance et aux réclamations des parties fiables sont décrites dans le blog Enabling Federation to AWS Using Windows Active Directory, AD FS et SAML 2.0

  • Règles relatives aux réclamations :

    • Nameid : Configuration par article de blog

    • RoleSessionName: configurez comme suit

      • Nom de la règle de réclamation : RoleSessionName

      • Boutique d'attributs : Active Directory

      • Attribut LDAP : SAM-Account-Name

      • Type de réclamation sortante : https://aws.amazon.com/SAML/Attributes/RoleSessionName

      • Obtenir des groupes AD : configuration par article de blog

      • Réclamation de rôle : configurez comme suit

        
c:[Type == "http://temp/variable", Value =~ "(?i)^AWS-([^d]{12})-"]

        
=> issue(Type = "https://aws.amazon.com/SAML/Attributes/Role", Value = RegExReplace(c.Value, "AWS-([^d]{12})-", "arn:aws:iam::$1:saml-provider/customer-readonly-saml,arn:aws:iam::$1:role/"));

console Web

Vous pouvez accéder à la console Web AWS en utilisant le lien ci-dessous en le [ADFS-FQDN] remplaçant par le nom de domaine complet de votre implémentation ADFS.

https :[ADFS-FQDN]//adfs/ls/IdpInitiatedSignOn.aspx

Votre service informatique peut déployer le lien ci-dessus auprès de la population d'utilisateurs via une politique de groupe.

Accès à l'API et à la CLI avec SAML

Comment configurer l'accès à l'API et à la CLI avec SAML

Les packages python proviennent des articles de blog ci-dessous :

Configuration du script

  1. À l'aide de Notepad++, remplacez la région par défaut par la bonne région

  2. À l'aide de Notepad++, désactivez la vérification SSL pour les environnements de test et de développement

  3. À l'aide de Notepad++, configurez idpentryurl

    https://[ADFS-FDQN]/adfs/ls/IdpInitiatedSignOn.aspx?loginToRp=urn:amazon:webservices

Configuration de Windows

Les instructions ci-dessous concernent les packages python. Les informations d'identification générées seront valides pendant 1 heure.

  1. Téléchargez et installez Python (2.7.11)

  2. Téléchargez et installez les outils de la CLI AWS

  3. Installez l'AMS CLI :

    1. Téléchargez le fichier zip des distribuables AMS fourni par votre gestionnaire de prestation de services cloud (CSDM) et décompressez-le.

      Plusieurs répertoires et fichiers sont mis à disposition.

    2. Ouvrez le répertoire Managed Cloud Distributables -> CLI -> Windows ou Managed Cloud Distributables -> CLI -> Linux/ macOS, selon votre système d'exploitation, et :

      Pour Windows, exécutez le programme d'installation approprié (cette méthode ne fonctionne que sur les systèmes Windows 32 ou 64 bits) :

      • 32 bits : ManagedCloud API_x86.msi

      • 64 bits : ManagedCloud API_x64.msi

      Pour Mac/Linux, exécutez le fichier nommé : MC_CLI.sh. Vous pouvez le faire en exécutant cette commande :sh MC_CLI.sh. Notez que les répertoires amscm et amsskms ainsi que leur contenu doivent se trouver dans le même répertoire que le fichier MC_CLI.sh.

    3. Si les informations d'identification de votre entreprise sont utilisées via la fédération avec AWS (configuration par défaut d'AMS), vous devez installer un outil de gestion des informations d'identification qui peut accéder à votre service de fédération. Par exemple, vous pouvez utiliser ce blog de sécurité AWS consacré à la mise en œuvre d'un accès fédéré aux API et CLI à l'aide de SAML 2.0 et d'AD FS pour vous aider à configurer vos outils de gestion des informations d'identification.

    4. Après l'installation, lancez aws amscm help et consultez aws amsskms help les commandes et les options.

  4. Téléchargez le script SAML requis

    Téléchargez vers c:\aws\scripts

  5. Télécharger PIP

    Téléchargez vers c:\aws\downloads

  6. Utilisation PowerShell, installation de PIP

    <pythondir>. \ python.exe c:\aws\downloads\get -pip.py

  7. Utilisation PowerShell et installation du module boto

    boto d'<pythondir \ scripts> installation pip

  8. Utilisation PowerShell du module de demandes d'installation

    demandes d'<pythondir \ scripts> installation pip

  9. Utilisation PowerShell et installation du module de sécurité des demandes

    <pythondir \ scripts>requêtes d'installation pip [sécurité]

  10. Utilisation PowerShell et installation du module Beautifulsoup

    <pythondir \ scripts>pip install beautifulsoup4

  11. En utilisant PowerShell, créez un dossier appelé .aws dans le profil de l'utilisateur (%userprofile% \ .aws)

    mkdir .aws

  12. À l'aide de PowerShell, créez un fichier d'identification dans le dossier .aws

    Informations d'identification du nouvel article : fichier de type —force

    Le fichier d'informations d'identification ne doit pas avoir d'extension de fichier

    Le nom du fichier doit être entièrement en minuscules et contenir les informations d'identification du nom.

  13. Ouvrez le fichier d'informations d'identification avec le bloc-notes et collez les données suivantes en spécifiant la bonne région

    
[default]
output = json
region = us-east-1
aws_access_key_id = 
aws_secret_access_key =

  14. Utilisation PowerShell du script SAML et de l'ouverture de session

    <pythondir>. \ python.exe c:\aws\scripts\samlapi.py

    Nom d'utilisateur : [USERNAME] @upn

    Choisissez le rôle que vous souhaitez assumer

Configuration de Linux

Les informations d'identification générées seront valides pendant 1 heure.

  1. À l'aide de WinSCP, transférez le script SAML

  2. À l'aide de WinSCP, transférez le certificat Root CA (ignorez-le pour le test et le développement)

  3. Ajoutez l'autorité de certification ROOT aux certificats racines sécurisés (à ignorer pour le test et le développement)

    $ openssl x509 -inform der -in [certname] .cer -out certificate.pem (ignorer pour le test et le développement)

    Ajoutez le contenu de certificate.pem à la fin du fichier/etc/ssl/certs/ca-bundle.crt (à ignorer pour le test de développement)

  4. Créez un dossier .aws dans home/ec2-user 5

    
[default]
output = json
region = us-east-1
aws_access_key_id = 
aws_secret_access_key =

  5. À l'aide de WinSCP, transférez le fichier d'informations d'identification dans le dossier .aws

  6. Installer le module de démarrage

    $ sudo pip install boot

  7. Module de demandes d'installation

    Demandes d'installation de $ sudo pip

  8. Installer le module beautifulsoup

    $ sudo pip installer beautifulsoup4

  9. Copiez le script dans home/ec2-user

    Définissez les autorisations requises

    Exécutez le script : samlapi.py