Comment fonctionne l'intégration entre AD FS et AMS - Guide de l'utilisateur avancé d'AMS

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Comment fonctionne l'intégration entre AD FS et AMS

Une confiance unidirectionnelle entre votre réseau local et le domaine AMS est le moyen par défaut pour accéder aux piles et. VPCs Lorsqu'un VPC et une pile sont créés, l'accès est accordé via des groupes de sécurité Active Directory préconfigurés. En outre, l'accès au AWS Management Console peut être configuré à l'aide d'Active Directory Federation Service (AD FS) ou de tout logiciel de fédération prenant en charge le protocole SAML, pour une connexion unique (SSO) à la AWS console de gestion.

Note

AMS peut se fédérer vers de nombreux services de fédération, tels que Ping, Okta, etc. Vous n'êtes pas limité à AD FS ; nous vous proposons ici un exemple d'une technologie de fédération à votre disposition.

Les informations présentées ici sont reprises de ce billet de blog : Activation de la fédération à AWS l'aide de Windows Active Directory, AD FS et SAML 2.0.

L'authentification sécurisée comporte plusieurs étapes au sein de votre entreprise et entre celle-ci et le AWS cloud.

  1. Le flux est lancé lorsqu'un utilisateur (appelons-le Bob) accède au site d'exemple AD FS (https://Fully.Qualified.Domain.Name). Here/adfs/ls/IdpInitiatedSignOn.aspx) dans son domaine. Lorsque vous installez AD FS, vous obtenez un nouveau répertoire virtuel nommé adfs pour votre site Web par défaut, qui inclut cette page.

  2. La page de connexion authentifie Bob auprès d'AD. Selon le navigateur utilisé par Bob, il peut être invité à saisir son nom d'utilisateur et son mot de passe AD.

  3. Le navigateur de Bob reçoit une assertion SAML sous la forme d'une réponse d'authentification d'AD FS.

  4. Le navigateur de Bob publie l'assertion SAML sur le point de AWS connexion pour SAML (/saml)https://signin.aws.amazon.com. Dans les coulisses, la connexion utilise l'API AssumeRoleWithSAML pour demander des informations d'identification de sécurité temporaires, puis crée une URL de connexion pour le. AWS Management Console

  5. Le navigateur de Bob reçoit l'URL de connexion et est redirigé vers la console.

Du point de vue de Bob, le processus se déroule de manière transparente. Il commence sur un site Web interne et se retrouve sur le AWS Management Console, sans jamais avoir à fournir d'informations AWS d'identification.

Note

Vous trouverez de plus amples informations sur la configuration de la fédération sur la console AMS dans :

Consultez également l'annexe : Règle de réclamation AD FS et paramètres SAML. Pour plus d'informations sur l'utilisation de AWS Microsoft AD pour prendre en charge vos applications compatibles Active Directory, dans le AWS cloud, qui sont soumises aux exigences de conformité, voir Gérer la conformité avec Microsoft AD.