Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Configurazione della federazione IdP tramite IAM e Amazon Quick Suite

Puoi utilizzare un ruolo AWS Identity and Access Management (IAM) e un URL dello stato di inoltro per configurare un provider di identità (IdP) conforme a SAML 2.0. Il ruolo concede agli utenti le autorizzazioni per accedere ad Amazon Quick Suite. Lo stato del relay è il portale a cui viene inoltrato l'utente in seguito alla corretta autenticazione da parte di AWS.

Prerequisiti

Prima di configurare la tua connessione SAML 2.0, procedi nel seguente modo:

Dopo aver creato la configurazione per la federazione Console di gestione AWS come descritto nel tutorial, puoi modificare lo stato del relè fornito nel tutorial. Puoi farlo con lo stato di inoltro di Amazon Quick Suite, descritto nel passaggio 5 seguente.

Per maggiori informazioni, consulta le seguenti risorse:

Passaggio 1: crea un provider SAML in AWS

Il tuo provider di identità SAML definisce l' AWS IdP della tua organizzazione a. Per farlo utilizza il documento di metadati generato precedentemente utilizzando il tuo provider di identità.

Passaggio 2: configura le autorizzazioni AWS per i tuoi utenti federati

A questo punto, devi creare un ruolo IAM che stabilisca una relazione di attendibilità tra IAM e il provider di identità della tua organizzazione. Questo ruolo identifica il tuo provider di identità come principale (entità attendibile) ai fini della federazione. Il ruolo definisce anche quali utenti autenticati dall'IdP della tua organizzazione possono accedere ad Amazon Quick Suite. Per ulteriori informazioni sulla creazione di un ruolo per un gestore delle identità SAML, consulta Creazione di un ruolo per una federazione SAML 2.0 nella Guida per l'utente di IAM.

Dopo aver creato il ruolo, puoi limitare il ruolo in modo che abbia le autorizzazioni solo per Amazon Quick Suite allegando una policy in linea al ruolo. Il seguente documento di policy di esempio fornisce l'accesso ad Amazon Quick Suite. Questa politica consente all'utente di accedere ad Amazon Quick Suite e consente loro di creare sia account autore che account lettore.

    {
    "Statement": [
        {
            "Action": [
                "quicksight:CreateUser"
            ],
            "Effect": "Allow",
            "Resource": [
                "arn:aws:quicksight::<YOUR_AWS_ACCOUNT_ID>:user/${aws:userid}"
            ]
        }
    ],
    "Version": "2012-10-17"		 	 	 
    }
    

Se desideri fornire l'accesso ad Amazon Quick Suite e anche la possibilità di creare amministratori, autori (utenti standard) e lettori di Amazon Quick Suite, puoi utilizzare il seguente esempio di policy.

    {
    "Statement": [
        {
            "Action": [
                "quicksight:CreateAdmin"
            ],
            "Effect": "Allow",
            "Resource": [
                "arn:aws:quicksight::<YOUR_AWS_ACCOUNT_ID>:user/${aws:userid}"
            ]
        }
    ],
    "Version": "2012-10-17"		 	 	 
    }
                

Puoi visualizzare i dettagli dell'account in. Console di gestione AWS

Una volta configurato SAML e la policy (o le policy) IAM, non dovrai invitare manualmente gli utenti. La prima volta che gli utenti aprono Amazon Quick Suite, il provisioning viene eseguito automaticamente, utilizzando le autorizzazioni di livello più elevato previste dalla policy. Ad esempio, se dispongono delle autorizzazioni per eseguire sia quicksight:CreateUser che quicksight:CreateReader, gli utenti sono assegnati come autori. Se dispongono anche delle autorizzazioni per eseguire quicksight:CreateAdmin, gli utenti sono assegnati come amministratori. Ogni livello di autorizzazione include la possibilità di creare un utente del medesimo livello e dei livelli inferiori. Ad esempio, un autore può aggiungere altri autori o lettori.

Gli utenti invitati manualmente vengono creati nel ruolo assegnato dalla persona che li ha invitati. Non è necessario che dispongano di policy che concedano loro le autorizzazioni.

Fase 3: configurazione del provider di identità SAML

Dopo aver creato il ruolo IAM, aggiorna il tuo IdP SAML come AWS fornitore di servizi. A tale scopo, installa il saml-metadata.xml file che si trova in https://signin.aws.amazon.com/static/ saml-metadata.xml.

Per aggiornare i metadati del provider di identità, consulta le istruzioni fornite dal tuo provider di identità. Alcuni provider ti offrono la possibilità di digitare l'URL, dopodiché il provider di identità ottiene e installa il file al tuo posto. Altri richiedono di scaricare il file dall'URL e quindi fornirlo come file locale.

Per ulteriori informazioni, consulta la documentazione relativa al tuo provider di identità.

Fase 4: Creazione delle asserzioni per la risposta di autenticazione SAML

Successivamente, configura le informazioni a cui l'IdP passa come attributi SAML AWS come parte della risposta di autenticazione. Per ulteriori informazioni, consultare Configurazione delle asserzioni SAML per la risposta di autenticazione nella Guida per l'utente di IAM.

Fase 5: Configurazione dello stato del relay della federazione

Infine, configura lo stato di inoltro della tua federazione in modo che punti all'URL dello stato di inoltro di Amazon Quick Suite. Una volta completata con successo l'autenticazione tramite AWS, l'utente viene indirizzato ad Amazon Quick Suite, definito come lo stato di inoltro nella risposta di autenticazione SAML.

L'URL dello stato di inoltro per Amazon Quick Suite è il seguente.

https://quicksight.aws.amazon.com