Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Configurazione della sincronizzazione delle e-mail per gli utenti federati in Quick

Nell'edizione Amazon Quick Enterprise, in qualità di amministratore puoi impedire ai nuovi utenti di utilizzare indirizzi e-mail personali durante il provisioning tramite il loro provider di identità (IdP) direttamente a Quick. Quick utilizza quindi gli indirizzi e-mail preconfigurati trasmessi tramite l'IdP per fornire nuovi utenti al tuo account. Ad esempio, puoi fare in modo che vengano utilizzati solo gli indirizzi e-mail assegnati dall'azienda quando gli utenti ricevono il provisioning del tuo account Amazon Quick tramite il tuo IdP.

Quando configuri la sincronizzazione delle e-mail per gli utenti federati in Amazon Quick, gli utenti che accedono al tuo account Amazon Quick per la prima volta hanno indirizzi e-mail preassegnati. Questi vengono utilizzati per registrare gli account. Con questo approccio, gli utenti possono bypassare manualmente inserendo un indirizzo e-mail. Inoltre, gli utenti non possono utilizzare un indirizzo e-mail che potrebbe essere diverso dall'indirizzo e-mail prescritto dall'amministratore.

Amazon Quick supporta il provisioning tramite un IdP che supporta l'autenticazione SAML o OpenID Connect (OIDC). Per configurare gli indirizzi e-mail per i nuovi utenti durante il provisioning tramite un IdP, aggiorni la relazione di attendibilità per il ruolo IAM che utilizzano AssumeRoleWithSAML o AssumeRoleWithWebIdentity. Quindi aggiungi un attributo SAML o un token OIDC nel loro IdP. Infine, attivi la sincronizzazione delle e-mail per gli utenti federati in Amazon Quick.

La seguente procedura descrive in modo più dettagliato questi passaggi.

Fase 1: Aggiornamento della relazione di attendibilità per il ruolo IAM con AssumeRoleWithSAML o AssumeRoleWithWebIdentity

Puoi configurare gli indirizzi e-mail che i tuoi utenti utilizzeranno durante il provisioning tramite il tuo IdP ad Amazon Quick. A tale scopo, aggiungi l'operazione sts:TagSession alla relazione di attendibilità per il ruolo IAM che utilizzi con AssumeRoleWithSAML o AssumeRoleWithWebIdentity. In questo modo, puoi passare i tag principal quando gli utenti assumono il ruolo.

L'esempio seguente illustra un ruolo IAM aggiornato in cui l'IdP è Okta. Per utilizzare questo esempio, aggiorna il nome della risorsa Amazon (ARN) di Federated con l'ARN del provider di servizi. Puoi sostituire gli articoli in rosso con informazioni specifiche relative al tuo servizio AWS e all'IdP.

{
    "Version": "2012-10-17"		 	 	 ,
    "Statement": [
    {
        "Effect": "Allow",
        "Principal": {
        "Federated": "arn:aws:iam::account-id:saml-provider/Okta"
        },
        "Action": "sts:AssumeRoleWithSAML",
        "Condition": {
        "StringEquals": {
            "SAML:aud": "https://signin.aws.amazon.com/saml"
        }
        }
    },
    {
        "Effect": "Allow",
        "Principal": {
        "Federated": "arn:aws:iam::account-id:saml-provider/Okta"
        },
        "Action": "sts:TagSession",
        "Condition": {
        "StringLike": {
            "aws:RequestTag/Email": "*"
        }
        }
    }
    ]
    }

Fase 2: Aggiunta di un attributo SAML o un token OIDC per il tag principale IAM nel tuo IdP

Dopo aver aggiornato la relazione di attendibilità per il ruolo IAM come descritto nella sezione precedente, aggiungi un attributo SAML o un token OIDC per il tag Principal IAM nel tuo IdP.

Gli esempi seguenti illustrano un attributo SAML e un token OIDC. Per utilizzare questi esempi, sostituisci l'indirizzo e-mail con una variabile nel tuo IdP che punti all'indirizzo e-mail di un utente. Puoi sostituire gli elementi evidenziati in rosso con le tue informazioni.

Passaggio 3: attiva la sincronizzazione delle e-mail per gli utenti federati in Amazon Quick

Come descritto nella sezione precedente, aggiungi un attributo SAML o un token OIDC per il tag Principal IAM nel tuo IdP. Quindi attiva la sincronizzazione delle e-mail per gli utenti federati in Amazon Quick come descritto nella procedura seguente.