Azure

Pour configurer Azure AD et votre AWS compte de manière à ce qu'ils se fassent mutuellement confiance

1. Créez ou utilisez un cluster Amazon Redshift existant pour que vos utilisateurs Azure AD puissent se connecter. Pour configurer la connexion, certaines propriétés de ce cluster sont nécessaires, telles que l’identifiant de cluster. Pour de plus amples informations, veuillez consulter Création d’un cluster.

2. Configurez un Azure Active Directory, des groupes et des utilisateurs utilisés AWS sur le portail Microsoft Azure.

3. Ajoutez Amazon Redshift en tant qu'application d'entreprise sur le portail Microsoft Azure à utiliser pour l'authentification unique à la AWS console et la connexion fédérée à Amazon Redshift. Choisissez Application Entreprise.

4. Choisissez +Nouvelle application. La page Ajouter une application apparaît.

5. Recherchez AWS dans le champ de recherche.

6. Choisissez Amazon Web Services (AWS) et choisissez Ajouter. Cela crée l'application AWS .

7. Sous Gérer, choisissez Single Sign-On.

8. Choisissez SAML. La page d'authentification basée sur Amazon Web Services (AWS) | SAML apparaît.

9. Choisissez Oui pour passer à la page Configurer l'authentification unique avec SAML. Cette page affiche la liste des attributs préconfigurés associés à l'authentification unique.

10. Pour Configuration SAML de base, choisissez l'icône Modifier et choisissez Enregistrer.

11. Lorsque vous configurez plusieurs applications, indiquez une valeur d'identificateur. Par exemple, saisissez https://signin.aws.amazon.com/saml#2. Notez qu'à partir de la deuxième application, utilisez ce format avec un signe # pour spécifier une valeur SPN unique.

12. Dans la section Attributs utilisateur et réclamations sélectionnez l'icône Modifier.

    Par défaut, l'identifiant utilisateur unique (UID) RoleSessionName, le rôle et les SessionDuration revendications sont préconfigurés.

13. Choisissez + Ajouter une nouvelle réclamation pour ajouter une revendication pour les utilisateurs de la base de données.

    Pour Nom, saisissez DbUser.

    Pour Espace de noms, saisissez https://redshift.amazon.com/SAML/Attributes.

    Pour Source, choisissez Attribut.

    Pour Attribut source, choisissez user.userprincipalname. Ensuite, choisissez Enregistrer.

14. Choisissez + Ajouter une nouvelle réclamation pour laquelle ajouter une réclamation AutoCreate.

    Pour Nom, saisissez AutoCreate.

    Pour Espace de noms, saisissez https://redshift.amazon.com/SAML/Attributes.

    Pour Source, choisissez Attribut.

    Pour Attribut source, choisissez « true ». Ensuite, choisissez Enregistrer.

    Ici, 123456789012 correspond à votre compte AWS , AzureSSO correspond à un rôle IAM que vous avez créé et AzureADProvider correspond au fournisseur IAM.

    Nom de la demande	Value
    Identifiant utilisateur unique (ID de nom)	user.userprincipalname
    https://aws.amazon.com/SAML/Attributes/SessionDuration	900
    https://aws.amazon.com/SAML/Attributes/Role	arn:aws:iam : :role/, arn:aws:iam : ::saml-provider/ 123456789012 AzureSSO 123456789012 AzureADProvider
    https://aws.amazon.com/SAML/Attributes/RoleSessionName	user.userprincipalname
    https://redshift.amazon.com/SAML/Attributes/AutoCreate	"true"
    https://redshift.amazon.com/SAML/Attributes/DbGroups	user.assignedroles
    https://redshift.amazon.com/SAML/Attributes/DbUser	user.userprincipalname

15. Sous Enregistrement de l'application > your-application-name > Authentification, ajoutez Application mobile et de bureau. Spécifiez l'URL sous la forme http://localhost/redshift/.

16. Dans la section Certificat de signature SAML, choisissez Télécharger pour télécharger et enregistrer le fichier XML de métadonnées de fédération à utiliser lorsque vous créez un fournisseur d'identité SAML IAM. Ce fichier est utilisé pour créer l'identité fédérée d'authentification unique.

17. Créez un fournisseur d’identité SAML IAM sur la console IAM. Le document de métadonnées que vous fournissez est le fichier XML de métadonnées de fédération que vous avez enregistré lorsque vous avez configuré Azure Enterprise Application. Pour des étapes détaillées, veuillez consulter la rubrique Création et gestion d'un fournisseur d'identité IAM (Console) dans le Guide de l'utilisateur IAM.

18. Créez un rôle IAM pour la fédération SAML 2.0 sur la console IAM. Pour des étapes détaillées, voir Création d'un rôle pour SAML dans le Guide de l'utilisateur IAM.

19. Créez une politique IAM que vous pouvez attacher au rôle IAM que vous avez créé pour la fédération SAML 2.0 sur la console IAM. Pour connaître la marche à suivre en détail, consultez Création de politiques IAM (console) dans le Guide de l’utilisateur IAM.

    Modifiez la politique suivante (au format JSON) pour votre environnement :

    • Remplacez la AWS région de votre cluster parus-west-1.

    • Remplacez votre AWS compte par123456789012.

    • Remplacez votre identifiant de cluster (ou * pour tous les clusters) par cluster-identifier.

    • Remplacez votre base de données (ou * pour toutes les bases de données) par dev.

    • Remplacez AROAJ2UCCR6DPCEXAMPLE par l'identifiant unique de votre rôle IAM.

    • Remplacez example.com par le domaine de messagerie de votre locataire ou de votre entreprise.

    • Remplacez my_dbgroup par le groupe de base de données auquel vous comptez affecter l'utilisateur

    {
        "Version": "2012-10-17",
        "Statement": [
            {
                "Effect": "Allow",
                "Action": "redshift:GetClusterCredentials",
                "Resource": [
                    "arn:aws:redshift:us-west-1:123456789012:dbname:cluster-identifier/dev",
                    "arn:aws:redshift:us-west-1:123456789012:dbuser:cluster-identifier/${redshift:DbUser}",
                    "arn:aws:redshift:us-west-1:123456789012:cluster:cluster-identifier"
                ],
                "Condition": {
                    "StringEquals": {
                        "aws:userid": "AROAJ2UCCR6DPCEXAMPLE:${redshift:DbUser}@example.com"
                    }
                }
            },
            {
                "Effect": "Allow",
                "Action": "redshift:CreateClusterUser",
                "Resource": "arn:aws:redshift:us-west-1:123456789012:dbuser:cluster-identifier/${redshift:DbUser}"
            },
            {
                "Effect": "Allow",
                "Action": "redshift:JoinGroup",
                "Resource": "arn:aws:redshift:us-west-1:123456789012:dbgroup:cluster-identifier/my_dbgroup"
            },
            {
                "Effect": "Allow",
                "Action": [
                    "redshift:DescribeClusters",
                    "iam:ListRoles"
                ],
                "Resource": "*"
            }
        ]
    }

    Cette politique accorde les autorisations suivantes :

    • La première section accorde à l'opération d'API GetClusterCredentials l'autorisation d'obtenir des informations d'identification temporaires pour le cluster spécifié. Dans cet exemple, la ressource est cluster-identifier avec la base de données dev, dans le compte 123456789012 et la région AWS us-west-1. La clause ${redshift:DbUser} autorise uniquement les utilisateurs qui correspondent à la valeur DbUser spécifiée dans Azure AD à se connecter.

    • La clause de condition impose que seuls certains utilisateurs obtiennent des informations d'identification temporaires. Il s'agit des utilisateurs sous le rôle spécifié par l'ID unique de rôle AROAJ2UCCR6DPCEXAMPLE dans le compte IAM identifié par une adresse e-mail dans le domaine de messagerie de votre entreprise. Pour plus d'informations sur le caractère unique IDs, consultez la section Unique IDs dans le guide de l'utilisateur d'IAM.

      Votre configuration avec votre IdP (dans ce cas, Azure AD) détermine la manière dont la clause de condition est écrite. Si l'adresse e-mail de votre employé est johndoe@example.com, commencez par définir ${redshift:DbUser} dans le champ correspondant au nom d'utilisateur de l'employé johndoe. Ensuite, pour que cette condition fonctionne, définissez ensuite le champ AWS SAML RoleSessionName sur le champ correspondant à l'e-mail de l'employé johndoe@example.com. Lorsque vous adoptez cette approche, tenez compte des éléments suivants :

      • Si vous définissez ${redshift:DbUser} comme étant l'e-mail de l'employé, supprimez @example.com dans l'exemple de fichier JSON pour correspondre à RoleSessionName.

      • Si vous définissez RoleSessionId comme étant uniquement le nom d'utilisateur de l'employé, supprimez @example.com dans l'exemple pour correspondre à RoleSessionName.

      • Dans l'exemple de fichier JSON, ${redshift:DbUser} et RoleSessionName sont tous deux définis sur l'e-mail de l'employé. Cet exemple de fichier JSON utilise le nom d'utilisateur de base de données Amazon Redshift avec @example.com pour connecter l'utilisateur en vue d'accéder au cluster.

    • La deuxième section accorde l'autorisation de créer un nom dbuser dans le cluster spécifié. Dans cet exemple de fichier JSON, la création est limitée à ${redshift:DbUser}.

    • La troisième section accorde l'autorisation de spécifier le dbgroup qu'un utilisateur peut rejoindre. Dans cet exemple de fichier JSON, un utilisateur peut rejoindre le groupe my_dbgroup dans le cluster spécifié.

    • La quatrième section accorde l'autorisation pour des actions que l'utilisateur peut effectuer sur toutes les ressources. Dans cet exemple JSON, il permet aux utilisateurs d'appeler pour redshift:DescribeClusters obtenir des informations sur le cluster, telles que le point de terminaison, AWS la région et le port du cluster. Il permet également aux utilisateurs d'appeler iam:ListRoles pour vérifier les rôles qu'un utilisateur peut assumer.