Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
# Microsoft ADelenco
Con AWS IAM Identity Center, è possibile connettere una directory autogestita in Active Directory (AD) o una directory in AWS Managed Microsoft AD utilizzando. AWS Directory Service Questa directory Microsoft AD definisce il pool di identità da cui gli amministratori possono attingere quando utilizzano la console IAM Identity Center per assegnare l'accesso Single Sign-On. Dopo aver collegato la directory aziendale a IAM Identity Center, puoi quindi concedere agli utenti o ai gruppi di AD l'accesso alle applicazioni o a entrambe Account AWS.
AWS Directory Service ti aiuta a configurare ed eseguire una AWS Managed Microsoft AD directory autonoma ospitata in. Cloud AWS Puoi anche utilizzarla Directory Service per connettere AWS le tue risorse a un AD esistente autogestito. AWS Directory Service Per configurarlo in modo da funzionare con il tuo AD autogestito, devi prima impostare relazioni di fiducia per estendere l'autenticazione al cloud.
IAM Identity Center utilizza la connessione fornita da Directory Service per eseguire l'autenticazione pass-through all'istanza AD di origine. Se lo utilizzi AWS Managed Microsoft AD come fonte di identità, IAM Identity Center può funzionare con utenti provenienti da AWS Managed Microsoft AD o provenienti da qualsiasi dominio connesso tramite un trust AD. Se desideri localizzare gli utenti in quattro o più domini, gli utenti devono utilizzare la `DOMAIN\user` sintassi come nome utente quando effettuano gli accessi a IAM Identity Center.
**Note**
Come passaggio preliminare, assicurati che l'AD Connector o la directory in AWS Managed Microsoft AD in si trovino all'interno del Directory Service tuo account di AWS Organizations gestione.
IAM Identity Center non supporta Simple AD basato su SAMBA 4 come directory connessa.
IAM Identity Center non è in grado di sincronizzare Foreign Security Principal (). FSPs Se un gruppo AWS Managed Microsoft AD contiene membri di un dominio affidabile come FSPs, tali membri non verranno sincronizzati.
Per una dimostrazione sul processo di utilizzo di Active Directory come fonte di identità per IAM Identity Center, guarda il seguente YouTube video:
[](http://www.youtube.com/watch?v=https://www.youtube.com/embed/OMbob_ef7J4?si=J23xw0EGkZOo8y9n)
## Considerazioni sull'utilizzo di Active Directory
Se si desidera utilizzare Active Directory come origine dell'identità, la configurazione deve soddisfare i seguenti prerequisiti:
+ Se lo utilizzi AWS Managed Microsoft AD, devi abilitare IAM Identity Center nello stesso Regione AWS punto in cui è configurata la tua AWS Managed Microsoft AD directory. IAM Identity Center archivia i dati di assegnazione nella stessa regione della directory. Per amministrare IAM Identity Center, potrebbe essere necessario passare alla regione in cui è configurato IAM Identity Center. Inoltre, tieni presente che il portale di AWS accesso utilizza lo stesso URL di accesso della tua directory.
+ Usa un Active Directory che risiede nell'account di gestione:
Devi avere un AD Connector o una AWS Managed Microsoft AD directory esistente configurata in AWS Directory Service e deve risiedere nel tuo account di AWS Organizations gestione. È possibile connettere solo una directory AD Connector o una directory AWS Managed Microsoft AD alla volta. Se devi supportare più domini o foreste, usa AWS Managed Microsoft AD. Per ulteriori informazioni, consulta:
+ [Connect una directory AWS Managed Microsoft AD a IAM Identity Center](connectawsad.md)
+ [Connect una directory autogestita in Active Directory a IAM Identity Center](connectonpremad.md)
+ Utilizza un Active Directory che risiede nell'account amministratore delegato:
Se prevedi di abilitare l'amministratore delegato di IAM Identity Center e utilizzare Active Directory come fonte di identità IAM Identity Center, puoi utilizzare un AD Connector o una AWS Managed Microsoft AD directory esistente configurata in AWS Directory che risiede nell'account amministratore delegato.
Se decidi di modificare l'origine dell'identità di IAM Identity Center da qualsiasi altra fonte ad Active Directory o di cambiarla da Active Directory a qualsiasi altra fonte, la directory deve risiedere (essere di proprietà di) l'account membro amministratore delegato di IAM Identity Center, se esistente; in caso contrario, deve essere nell'account di gestione.
# Connect Active Directory e specifica un utente
Se utilizzi già Active Directory, i seguenti argomenti ti aiuteranno a prepararti a connettere la tua directory a IAM Identity Center.
Puoi connettere una AWS Managed Microsoft AD directory o una directory autogestita in Active Directory con IAM Identity Center.
**Nota**
IAM Identity Center non supporta Simple AD SAMBA4 basato su sistema Simple AD come fonte di identità.
**AWS Managed Microsoft AD**
1. Consulta le linee guida contenute in[Microsoft ADelenco](manage-your-identity-source-ad.md).
1. Segui la procedura riportata in [Connect una directory AWS Managed Microsoft AD a IAM Identity Center](connectawsad.md).
1. Configura Active Directory per sincronizzare l'utente a cui desideri concedere le autorizzazioni amministrative in IAM Identity Center. Per ulteriori informazioni, consulta [Sincronizza un utente amministrativo in IAM Identity Center](#sync-admin-user-from-ad).
**Directory gestita automaticamente in Active Directory**
1. Consulta le linee guida contenute in[Microsoft ADelenco](manage-your-identity-source-ad.md).
1. Segui la procedura riportata in [Connect una directory autogestita in Active Directory a IAM Identity Center](connectonpremad.md).
1. Configura Active Directory per sincronizzare l'utente a cui desideri concedere le autorizzazioni amministrative in IAM Identity Center. Per ulteriori informazioni, consulta [Sincronizza un utente amministrativo in IAM Identity Center](#sync-admin-user-from-ad).
**IdP esterno**
1. Consulta la guida in[Provider di identità esterni](manage-your-identity-source-idp.md).
1. Segui la procedura riportata in [Come connettersi a un provider di identità esterno](how-to-connect-idp.md).
1.
Configura il tuo IdP per fornire agli utenti IAM Identity Center.
**Nota**
Prima di configurare il provisioning automatico e basato su gruppi di tutte le identità della tua forza lavoro dal tuo IdP a IAM Identity Center, ti consigliamo di sincronizzare l'unico utente a cui desideri concedere le autorizzazioni amministrative in IAM Identity Center.
## Sincronizza un utente amministrativo in IAM Identity Center
Dopo aver collegato Active Directory a IAM Identity Center, puoi specificare un utente a cui concedere le autorizzazioni amministrative e quindi sincronizzare quell'utente dalla tua directory in IAM Identity Center.
1. Apri la [console Centro identità IAM](https://console.aws.amazon.com/singlesignon).
1. Seleziona **Impostazioni**.
1. Nella pagina **Impostazioni**, scegli la scheda **Origine dell'identità**, scegli **Azioni**, quindi scegli **Gestisci** sincronizzazione.
1. Nella pagina **Gestisci sincronizzazione**, scegli la scheda **Utenti**, quindi scegli **Aggiungi utenti e gruppi**.
1. Nella scheda **Utenti**, in **Utente**, inserisci il nome utente esatto e scegli **Aggiungi**.
1. In **Utenti e gruppi aggiunti**, procedi come segue:
1. Conferma che l'utente a cui desideri concedere le autorizzazioni amministrative sia specificato.
1. Seleziona la casella di controllo a sinistra del nome utente.
1. Seleziona **Invia**.
1. Nella pagina **Gestisci sincronizzazione**, l'utente specificato viene visualizzato nell'elenco degli ambiti **Utenti sincronizzati**.
1. Nel pannello di navigazione, seleziona **Utenti**.
1. Nella pagina **Utenti**, potrebbe essere necessario del tempo prima che l'utente specificato compaia nell'elenco. Scegli l'icona di aggiornamento per aggiornare l'elenco degli utenti.
A questo punto, l'utente non ha accesso all'account di gestione. Configurerai l'accesso amministrativo a questo account creando un set di autorizzazioni amministrative e assegnando l'utente a tale set di autorizzazioni. Per ulteriori informazioni, consulta [Creare un set di autorizzazioni](howtocreatepermissionset.md).
## Eseguire il provisioning quando gli utenti provengono da Active Directory
IAM Identity Center utilizza la connessione fornita da Directory Service per sincronizzare le informazioni su utenti, gruppi e appartenenze dalla directory di origine in Active Directory all'archivio di identità di IAM Identity Center. Nessuna informazione sulla password viene sincronizzata con IAM Identity Center, poiché l'autenticazione dell'utente avviene direttamente dalla directory di origine in Active Directory. Questi dati di identità vengono utilizzati dalle applicazioni per facilitare gli scenari di ricerca, autorizzazione e collaborazione in-app senza trasferire l'attività LDAP alla directory di origine in Active Directory.
Per ulteriori informazioni sul provisioning, vedere. [Assegnazione di ruoli a utenti e gruppi](users-groups-provisioning.md#user-group-provision)
**Topics**
+ [Considerazioni sull'utilizzo di Active Directory](#considerations-ad-identitysource)
+ [Connect Active Directory e specifica un utente](get-started-connect-id-source-ad-idp-specify-user.md)
+ [Eseguire il provisioning quando gli utenti provengono da Active Directory](#provision-users-from-ad)
+ [Connect una directory AWS Managed Microsoft AD a IAM Identity Center](connectawsad.md)
+ [Connect una directory autogestita in Active Directory a IAM Identity Center](connectonpremad.md)
+ [Mappature degli attributi tra IAM Identity Center e la directory External Identity Provider](attributemappingsconcept.md)
+ [Sincronizzazione AD configurabile con IAM Identity Center](provision-users-from-ad-configurable-ADsync.md)
# Connect una directory AWS Managed Microsoft AD a IAM Identity Center
Utilizza la seguente procedura per connettere una directory AWS Managed Microsoft AD gestita da AWS Directory Service a IAM Identity Center.
**Per connettersi AWS Managed Microsoft AD a IAM Identity Center**
1. Apri la [console Centro identità IAM](https://console.aws.amazon.com/singlesignon).
**Nota**
Assicurati che la console IAM Identity Center utilizzi una delle regioni in cui si trova la tua AWS Managed Microsoft AD directory prima di passare alla fase successiva.
1. Seleziona **Impostazioni**.
1. Nella pagina **Impostazioni**, scegli la scheda **Origine dell'identità**, quindi scegli **Azioni > Modifica l'origine dell'identità**.
1. In **Scegli l'origine dell'identità**, seleziona **Active Directory**, quindi scegli **Avanti**.
1. In **Connect active directory**, scegli una directory AWS Managed Microsoft AD dall'elenco, quindi scegli **Avanti**.
1. In **Conferma modifica**, rivedi le informazioni e, quando sei pronto, digita **ACCETTA**, quindi scegli **Cambia origine identità**.
**Importante**
Per specificare un utente in Active Directory come utente amministrativo in IAM Identity Center, devi prima sincronizzare l'utente a cui desideri concedere le autorizzazioni amministrative da Active Directory in IAM Identity Center. A tale scopo, segui la procedura in [Sincronizza un utente amministrativo in IAM Identity Center](get-started-connect-id-source-ad-idp-specify-user.md#sync-admin-user-from-ad).
# Connect una directory autogestita in Active Directory a IAM Identity Center
Gli utenti della directory autogestita in Active Directory (AD) possono inoltre disporre dell'accesso Single Sign-On alle applicazioni Account AWS e al portale di accesso. AWS Per configurare l'accesso Single Sign-on per questi utenti, puoi effettuare una delle seguenti operazioni:
+ **Crea una relazione di trust bidirezionale**: quando vengono create relazioni di trust bidirezionale tra AWS Managed Microsoft AD e una directory autogestita in AD, gli utenti della directory autogestita in AD possono accedere con le proprie credenziali aziendali a vari servizi e applicazioni aziendali. AWS I trust unidirezionali non funzionano con IAM Identity Center.
AWS IAM Identity Center richiede un trust bidirezionale in modo da disporre delle autorizzazioni per leggere le informazioni su utenti e gruppi dal dominio per sincronizzare i metadati di utenti e gruppi. IAM Identity Center utilizza questi metadati per assegnare l'accesso a set di autorizzazioni o applicazioni. I metadati di utenti e gruppi vengono utilizzati anche dalle applicazioni per la collaborazione, ad esempio quando condividi una dashboard con un altro utente o gruppo. L'attribuzione di fiducia Directory Service per Microsoft Active Directory al tuo dominio consente a IAM Identity Center di affidare il tuo dominio per l'autenticazione. La fiducia nella direzione opposta concede le AWS autorizzazioni per leggere i metadati di utenti e gruppi.
*Per ulteriori informazioni sulla configurazione di un trust bidirezionale, vedere [Quando creare una relazione di trust](https://docs.aws.amazon.com/directoryservice/latest/admin-guide/setup_trust.html) nella Guida all'amministrazione.AWS Directory Service *
**Nota**
Per poter utilizzare AWS applicazioni, come IAM Identity Center per leggere gli utenti delle Directory Service directory dai domini affidabili, gli Directory Service account richiedono le autorizzazioni per l' userAccountControlattributo sugli utenti affidabili. Senza i permessi di lettura per questo attributo, AWS le applicazioni non sono in grado di determinare se l'account è abilitato o disabilitato.
L'accesso in lettura a questo attributo viene fornito per impostazione predefinita quando viene creato un trust. Se neghi l'accesso a questo attributo (scelta non consigliata), impedirai ad applicazioni come Identity Center di leggere utenti affidabili. La soluzione consiste nel consentire specificamente l'accesso in lettura all'`userAccountControl`attributo sugli account di AWS servizio nell'unità organizzativa AWS riservata (con il prefisso AWS\$1).
+ **Crea un connettore AD**: AD Connector è un gateway di directory in grado di reindirizzare le richieste di directory al tuo AD autogestito senza memorizzare nella cache alcuna informazione nel cloud. Per ulteriori informazioni, vedere [Connect to a Directory](https://docs.aws.amazon.com/directoryservice/latest/admin-guide/directory_ad_connector.html) nella *AWS Directory Service Administration Guide*. Di seguito sono riportate le considerazioni relative all'utilizzo di AD Connector:
+ Se stai connettendo IAM Identity Center a una directory AD Connector, eventuali future reimpostazioni delle password utente devono essere eseguite dall'interno di AD. Ciò significa che gli utenti non saranno in grado di reimpostare le proprie password dal portale di AWS accesso.
+ Se utilizzi AD Connector per connettere il tuo servizio di dominio Active Directory a IAM Identity Center, IAM Identity Center ha accesso solo agli utenti e ai gruppi del singolo dominio a cui si collega AD Connector. Se devi supportare più domini o foreste, usalo Directory Service per Microsoft Active Directory.
**Nota**
IAM Identity Center non funziona con le directory Simple AD SAMBA4 basate su Simple AD.
# Mappature degli attributi tra IAM Identity Center e la directory External Identity Provider
Le mappature degli attributi vengono utilizzate per mappare i tipi di attributi esistenti in IAM Identity Center con attributi simili nella fonte di identità esterna, ad Google Workspace esempio, e. Microsoft Active Directory (AD) Okta IAM Identity Center recupera gli attributi utente dalla fonte di identità e li mappa agli attributi utente di IAM Identity Center.
Se il tuo IAM Identity Center è sincronizzato per utilizzare un **provider di identità (IdP) esterno**, ad Google Workspace esempioOkta, Ping o come fonte di identità, dovrai mappare i tuoi attributi nel tuo IdP.
IAM Identity Center inserisce automaticamente un set di attributi nella scheda **Mappature degli attributi** che si trova nella pagina di configurazione. IAM Identity Center utilizza questi attributi utente per compilare le asserzioni SAML (come attributi SAML) che vengono inviate all'applicazione. Questi attributi utente vengono a loro volta recuperati dalla fonte dell'identità. Ogni applicazione determina l'elenco degli attributi SAML 2.0 necessari per il single sign-on di successo. Per ulteriori informazioni, consulta [Mappa gli attributi dell'applicazione agli attributi di IAM Identity Center](mapawsssoattributestoapp.md).
IAM Identity Center gestisce anche un set di attributi per te nella sezione **Mappature degli** attributi della **pagina di configurazione di Active Directory** se utilizzi Active Directory come fonte di identità. Per ulteriori informazioni, consulta [Mappatura degli attributi utente tra IAM Identity Center e la directory Microsoft AD](mapssoattributestocdattributes.md).
## Attributi del provider di identità esterno supportati
La tabella seguente elenca tutti gli attributi del provider di identità esterno (IdP) supportati e può essere mappata agli attributi che è possibile utilizzare durante la configurazione [Attributi per il controllo degli accessi](attributesforaccesscontrol.md) in IAM Identity Center. Quando usi le asserzioni SAML, puoi utilizzare qualsiasi attributo supportato dal tuo IdP.
****
| Attributi supportati nel tuo IdP |
| --- |
| \$1\$1path:userName\$1 |
| \$1\$1path:name.familyName\$1 |
| \$1\$1path:name.givenName\$1 |
| \$1\$1path:displayName\$1 |
| \$1\$1path:nickName\$1 |
| \$1\$1path:emails[primary eq true].value\$1 |
| \$1\$1path:addresses[type eq "work"].streetAddress\$1 |
| \$1\$1path:addresses[type eq "work"].locality\$1 |
| \$1\$1path:addresses[type eq "work"].region\$1 |
| \$1\$1path:addresses[type eq "work"].postalCode\$1 |
| \$1\$1path:addresses[type eq "work"].country\$1 |
| \$1\$1path:addresses[type eq "work"].formatted\$1 |
| \$1\$1path:phoneNumbers[type eq "work"].value\$1 |
| \$1\$1path:userType\$1 |
| \$1\$1path:title\$1 |
| \$1\$1path:locale\$1 |
| \$1\$1path:timezone\$1 |
| \$1\$1path:enterprise.employeeNumber\$1 |
| \$1\$1path:enterprise.costCenter\$1 |
| \$1\$1path:enterprise.organization\$1 |
| \$1\$1path:enterprise.division\$1 |
| \$1\$1path:enterprise.department\$1 |
| \$1\$1path:enterprise.manager.value\$1 |
## Mappature predefinite tra IAM Identity Center e Microsoft AD
La tabella seguente elenca le mappature predefinite degli attributi utente in IAM Identity Center con gli attributi utente nella directory. Microsoft AD IAM Identity Center supporta solo l'elenco degli attributi nell'**attributo User nella colonna IAM Identity Center**.
****
| Attributo utente in IAM Identity Center | Esegue il mapping a questo attributo in Active Directory |
| --- | --- |
| displayname | \$1\$1displayname\$1 |
| emails[?primary].value \$1 | \$1\$1mail\$1 |
| externalid | \$1\$1objectguid\$1 |
| name.givenname | \$1\$1givenname\$1 |
| name.familyname | \$1\$1sn\$1 |
| name.middlename | \$1\$1initials\$1 |
| sid | \$1\$1objectsid\$1 |
| username | \$1\$1userprincipalname\$1 |
\$1 L'attributo email in IAM Identity Center deve essere univoco all'interno della directory.
****
| Attributo di gruppo in IAM Identity Center | Esegue il mapping a questo attributo in Active Directory |
| --- | --- |
| externalid | \$1\$1objectguid\$1 |
| description | \$1\$1description\$1 |
| displayname | \$1\$1samaccountname\$1@\$1associateddomain\$1 |
**Considerazioni**
+ Se non hai assegnazioni per utenti e gruppi in IAM Identity Center quando abiliti la sincronizzazione AD configurabile, vengono utilizzate le mappature predefinite nelle tabelle precedenti. Per informazioni su come personalizzare queste mappature, consulta. [Configura le mappature degli attributi per la sincronizzazione](manage-sync-configure-attribute-mapping-configurable-ADsync.md)
+ Alcuni attributi di IAM Identity Center non possono essere modificati perché sono immutabili e mappati per impostazione predefinita su attributi di directory Microsoft AD specifici.
Ad esempio, «username» è un attributo obbligatorio in IAM Identity Center. Se mappi «username» a un attributo di directory AD con un valore vuoto, IAM Identity Center considererà il `windowsUpn` valore come valore predefinito per «username». Se desideri modificare la mappatura degli attributi per «username» rispetto alla mappatura attuale, conferma che i flussi di IAM Identity Center con dipendenza da «username» continueranno a funzionare come previsto, prima di apportare la modifica.
## Microsoft ADAttributi supportati per IAM Identity Center
La tabella seguente elenca tutti gli attributi di Microsoft AD directory supportati e che possono essere mappati agli attributi utente in IAM Identity Center.
****
| Attributi supportati nella directory Microsoft AD |
| --- |
| \$1\$1samaccountname\$1 |
| \$1\$1description\$1 |
| \$1\$1objectguid\$1 |
| \$1\$1objectsid\$1 |
| \$1\$1givenname\$1 |
| \$1\$1sn\$1 |
| \$1\$1initials\$1 |
| \$1\$1mail\$1 |
| \$1\$1userprincipalname\$1 |
| \$1\$1displayname\$1 |
| \$1\$1distinguishedname\$1 |
| \$1\$1proxyaddresses[?type == "SMTP"].value\$1 |
| \$1\$1proxyaddresses[?type == "smtp"].value\$1 |
| \$1\$1useraccountcontrol\$1 |
| \$1\$1associateddomain\$1 |
**Considerazioni**
+ È possibile specificare qualsiasi combinazione di attributi di Microsoft AD directory supportati da mappare a un singolo attributo mutabile in IAM Identity Center.
## Attributi IAM Identity Center supportati per Microsoft AD
La tabella seguente elenca tutti gli attributi di IAM Identity Center supportati e che possono essere mappati agli attributi utente nella Microsoft AD directory. Dopo aver impostato le mappature degli attributi dell'applicazione, puoi utilizzare gli stessi attributi di IAM Identity Center per mappare gli attributi effettivi utilizzati da quell'applicazione.
****
| Attributi supportati in IAM Identity Center for Active Directory |
| --- |
| \$1\$1user:AD\$1GUID\$1 |
| \$1\$1user:AD\$1SID\$1 |
| \$1\$1user:email\$1 |
| \$1\$1user:familyName\$1 |
| \$1\$1user:givenName\$1 |
| \$1\$1user:middleName\$1 |
| \$1\$1user:name\$1 |
| \$1\$1user:preferredUsername\$1 |
| \$1\$1user:subject\$1 |
# Mappatura degli attributi utente tra IAM Identity Center e la directory Microsoft AD
Puoi utilizzare la seguente procedura per specificare in che modo gli attributi utente in IAM Identity Center devono essere mappati agli attributi corrispondenti nella tua Microsoft AD directory.
**Per mappare gli attributi in IAM Identity Center agli attributi nella tua directory**
1. Apri la [console Centro identità IAM](https://console.aws.amazon.com/singlesignon).
1. Seleziona **Impostazioni**.
1. Nella pagina **Impostazioni**, scegli la scheda **Attributi per il controllo degli accessi**, quindi scegli **Gestisci attributi**.
1. Nella pagina **Gestisci l'attributo per il controllo degli accessi**, trova l'attributo in IAM Identity Center che desideri mappare, quindi digita un valore nella casella di testo. Ad esempio, potresti voler mappare l'attributo utente di IAM Identity Center **`email`**all'attributo di directory Microsoft AD **`${mail}`**.
1. Scegli **Save changes** (Salva modifiche).
# Sincronizzazione AD configurabile con IAM Identity Center
La sincronizzazione con Active Directory (AD) configurabile con IAM Identity Center consente di configurare in modo esplicito le identità in Microsoft Active Directory che vengono sincronizzate automaticamente in IAM Identity Center e di controllare il processo di sincronizzazione.
+ Con questo metodo di sincronizzazione, puoi fare quanto segue:
+ Controlla i limiti dei dati definendo in modo esplicito gli utenti e i gruppi in Microsoft Active Directory che vengono sincronizzati automaticamente in IAM Identity Center. Puoi [aggiungere utenti e gruppi](manage-sync-add-users-groups-configurable-ADsync.md) o [rimuovere utenti e gruppi](manage-sync-remove-users-groups-configurable-ADsync.md) per modificare l'ambito della sincronizzazione in qualsiasi momento.
+ [Assegna a utenti e gruppi sincronizzati l'accesso Single Sign-On alle applicazioni Account AWS o [l'accesso alle applicazioni](useraccess.md).](assignuserstoapp.md) Le applicazioni possono essere applicazioni gestite o applicazioni AWS gestite dal cliente.
+ Controlla il processo di sincronizzazione [mettendo in pausa e riprendendo la](manage-sync-pause-resume-sync-configurable-ADsync.md) sincronizzazione secondo necessità. Questo ti aiuta a regolare il carico sui sistemi di produzione.
## Prerequisiti e considerazioni
Prima di utilizzare la sincronizzazione AD configurabile, tenete presente i seguenti prerequisiti e considerazioni:
+ **Specificare utenti e gruppi in Active Directory da sincronizzare**
Prima di poter utilizzare IAM Identity Center per assegnare a nuovi utenti e gruppi l'accesso alle Account AWS applicazioni gestite o alle applicazioni AWS gestite dai clienti, è necessario specificare gli utenti e i gruppi in Active Directory da sincronizzare e quindi sincronizzarli in IAM Identity Center.
+ **Sincronizzazione AD configurabile**: IAM Identity Center non cerca direttamente utenti e gruppi nel controller di dominio. Invece, devi prima specificare l'elenco di utenti e gruppi da sincronizzare. Puoi configurare questo elenco, noto anche come *ambito di sincronizzazione*, in uno dei seguenti modi, a seconda che tu abbia utenti e gruppi già sincronizzati in IAM Identity Center o che tu abbia nuovi utenti e gruppi che sincronizzi per la prima volta utilizzando la sincronizzazione AD configurabile.
+ Utenti e gruppi esistenti: se hai utenti e gruppi già sincronizzati in IAM Identity Center, l'ambito di sincronizzazione nella sincronizzazione AD configurabile è precompilato con un elenco di tali utenti e gruppi. Per assegnare nuovi utenti o gruppi, devi aggiungerli specificamente all'ambito di sincronizzazione. Per ulteriori informazioni, consulta [Aggiungi utenti e gruppi all'ambito di sincronizzazione](manage-sync-add-users-groups-configurable-ADsync.md).
+ Nuovi utenti e gruppi: se desideri assegnare a nuovi utenti e gruppi l'accesso alle Account AWS e alle applicazioni, devi specificare quali utenti e gruppi aggiungere all'ambito di sincronizzazione nella sincronizzazione configurabile di AD prima di poter utilizzare IAM Identity Center per effettuare l'assegnazione. Per ulteriori informazioni, consulta [Aggiungi utenti e gruppi all'ambito di sincronizzazione](manage-sync-add-users-groups-configurable-ADsync.md).
+ **Assegnazione di assegnazioni a gruppi annidati in Active Directory**
I gruppi che sono membri di altri gruppi sono chiamati gruppi *nidificati (o gruppi* secondari).
+ **Sincronizzazione AD configurabile**: l'utilizzo della sincronizzazione AD configurabile per assegnare assegnazioni a un gruppo in Active Directory che contiene gruppi nidificati potrebbe aumentare il numero di utenti che hanno accesso alle o alle applicazioni. Account AWS In questo caso, l'assegnazione si applica a tutti gli utenti, inclusi quelli dei gruppi nidificati. Ad esempio, se si assegna l'accesso al Gruppo A e il Gruppo B è membro del Gruppo A, anche i membri del Gruppo B ereditano questo accesso.
+ **Aggiornamento dei flussi di lavoro automatizzati**
Se disponi di flussi di lavoro automatizzati che utilizzano le azioni API IAM Identity Store e le azioni API di assegnazione di IAM Identity Center per assegnare a nuovi utenti e gruppi l'accesso agli account e alle applicazioni e per sincronizzarli con IAM Identity Center, devi modificare tali flussi di lavoro entro il 15 aprile 2022 in modo che funzionino come previsto con la sincronizzazione AD configurabile. La sincronizzazione AD configurabile modifica l'ordine in cui avvengono l'assegnazione e il provisioning di utenti e gruppi e il modo in cui vengono eseguite le query.
+ **Sincronizzazione AD configurabile**: il provisioning avviene per primo e non viene eseguito automaticamente. È invece necessario innanzitutto aggiungere in modo esplicito utenti e gruppi all'archivio di identità aggiungendoli all'ambito di sincronizzazione. Per informazioni sui passaggi consigliati per automatizzare la configurazione di sincronizzazione per la sincronizzazione AD configurabile, consulta. [Automatizza la configurazione di sincronizzazione per una sincronizzazione AD configurabile](automate-sync-configuration-configurable-ADsync.md)
**Topics**
+ [Prerequisiti e considerazioni](#prerequisites-configurable-ADsync)
+ [Come funziona la sincronizzazione AD configurabile](how-it-works-configurable-ADsync.md)
+ [Configura le mappature degli attributi per la sincronizzazione](manage-sync-configure-attribute-mapping-configurable-ADsync.md)
+ [Configurazione di sincronizzazione da Active Directory a IAM Identity Center per la prima volta](manage-sync-configurable-ADsync.md)
+ [Aggiungi utenti e gruppi all'ambito di sincronizzazione](manage-sync-add-users-groups-configurable-ADsync.md)
+ [Rimuovi utenti e gruppi dall'ambito di sincronizzazione](manage-sync-remove-users-groups-configurable-ADsync.md)
+ [Metti in pausa e riprendi la sincronizzazione](manage-sync-pause-resume-sync-configurable-ADsync.md)
+ [Automatizza la configurazione di sincronizzazione per una sincronizzazione AD configurabile](automate-sync-configuration-configurable-ADsync.md)
# Come funziona la sincronizzazione AD configurabile
IAM Identity Center aggiorna i dati di identità basati su AD nell'archivio delle identità utilizzando il seguente processo. Per ulteriori informazioni sui prerequisiti, consulta. [Prerequisiti e considerazioni](provision-users-from-ad-configurable-ADsync.md#prerequisites-configurable-ADsync)
## Creazione
Dopo aver collegato la directory autogestita in Active Directory o la AWS Managed Microsoft AD directory gestita da Directory Service a IAM Identity Center, puoi configurare in modo esplicito gli utenti e i gruppi di Active Directory che desideri sincronizzare nell'archivio di identità di IAM Identity Center. Le identità scelte verranno sincronizzate ogni tre ore circa nell'archivio di identità di IAM Identity Center. A seconda delle dimensioni della directory, il processo di sincronizzazione potrebbe richiedere più tempo.
Anche i gruppi che sono membri di altri gruppi (*denominati gruppi annidati* o *gruppi secondari*) vengono scritti nell'archivio di identità.
Puoi assegnare l'accesso a nuovi utenti o gruppi solo dopo che sono stati sincronizzati nell'archivio di identità di IAM Identity Center.
## Aggiorna
I dati di identità nell'archivio di identità di IAM Identity Center rimangono aggiornati leggendo periodicamente i dati dalla directory di origine in Active Directory. Per impostazione predefinita, IAM Identity Center sincronizza i dati da Active Directory ogni ora in un ciclo di sincronizzazione. La sincronizzazione dei dati con IAM Identity Center può richiedere da 30 minuti a 2 ore, in base alle dimensioni di Active Directory.
Gli oggetti utente e di gruppo inclusi nell'ambito di sincronizzazione e le relative appartenenze vengono creati o aggiornati in IAM Identity Center per essere mappati agli oggetti corrispondenti nella directory di origine in Active Directory. Per gli attributi utente, solo il sottoinsieme di attributi elencati nella sezione **Attributi per il controllo degli accessi** della console IAM Identity Center viene aggiornato in IAM Identity Center. Potrebbe essere necessario un ciclo di sincronizzazione affinché tutti gli aggiornamenti degli attributi apportati in Active Directory si riflettano in IAM Identity Center.
Puoi anche aggiornare il sottoinsieme di utenti e gruppi che sincronizzi nell'archivio di identità di IAM Identity Center. Puoi scegliere di aggiungere nuovi utenti o gruppi a questo sottoinsieme o rimuoverli. Tutte le identità aggiunte vengono sincronizzate alla successiva sincronizzazione pianificata. Le identità rimosse dal sottoinsieme smetteranno di essere aggiornate nell'archivio di identità di IAM Identity Center. Qualsiasi utente che non è sincronizzato per più di 28 giorni verrà disabilitato nell'archivio di identità di IAM Identity Center. Gli oggetti utente corrispondenti verranno automaticamente disabilitati nell'archivio di identità di IAM Identity Center durante il ciclo di sincronizzazione successivo, a meno che non facciano parte di un altro gruppo che fa ancora parte dell'ambito di sincronizzazione.
## Eliminazione
Gli utenti e i gruppi vengono eliminati dall'archivio di identità di IAM Identity Center quando gli oggetti utente o gruppo corrispondenti vengono eliminati dalla directory di origine in Active Directory. In alternativa, puoi eliminare in modo esplicito gli oggetti utente dall'archivio di identità IAM Identity Center utilizzando la console IAM Identity Center. Se utilizzi la console IAM Identity Center, devi anche rimuovere gli utenti dall'ambito di sincronizzazione per garantire che non vengano risincronizzati con IAM Identity Center durante il ciclo di sincronizzazione successivo.
Puoi anche mettere in pausa e riavviare la sincronizzazione in qualsiasi momento. Se sospendi la sincronizzazione per più di 28 giorni, tutti gli utenti verranno disabilitati.
# Configura le mappature degli attributi per la sincronizzazione
Per ulteriori informazioni sugli attributi disponibili, vedere. [Mappature degli attributi tra IAM Identity Center e la directory External Identity Provider](attributemappingsconcept.md)
**Per configurare le mappature degli attributi in IAM Identity Center nella tua directory**
1. Apri la [console Centro identità IAM](https://console.aws.amazon.com/singlesignon).
1. Seleziona **Impostazioni**.
1. Nella pagina **Impostazioni**, scegli la scheda **Identity source**, scegli **Azioni**, quindi scegli **Manage** Sync.
1. In **Gestisci sincronizzazione**, scegli **Visualizza mappatura degli attributi**.
1. In **Attributi utente di Active Directory, configura gli attributi** dell'**archivio di identità di IAM Identity Center e gli attributi** **utente di Active Directory**. Ad esempio, potresti voler mappare l'attributo Identity Store di identità di IAM Identity Center `email` all'attributo della directory utente di Active Directory`${objectguid}`.
**Nota**
In Attributi di **gruppo, gli attributi** **dell'archivio di identità di IAM Identity Center e gli attributi** **del gruppo Active Directory** non possono essere modificati.
1. Scegli **Save changes** (Salva modifiche). Questo riporta alla pagina **Manage Sync**.
# Configurazione di sincronizzazione da Active Directory a IAM Identity Center per la prima volta
Se sincronizzi utenti e gruppi da Active Directory a IAM Identity Center per la prima volta, segui questi passaggi. In alternativa, puoi seguire i passaggi descritti in [Cambia la fonte della tua identità](manage-your-identity-source-change.md) per modificare la fonte dell'identità da IAM Identity Center ad Active Directory.
## Configurazione guidata
1. Apri la [console Centro identità IAM](https://console.aws.amazon.com/singlesignon).
**Nota**
Assicurati che la console IAM Identity Center utilizzi una delle directory Regioni AWS in cui si trova la tua AWS Managed Microsoft AD directory prima di passare alla fase successiva.
1. Seleziona **Impostazioni**.
1. Nella parte superiore della pagina, nel messaggio di notifica, scegli **Avvia configurazione guidata**.
1. Nel **passaggio 1, *facoltativo*: configura le mappature degli attributi, esamina le mappature** degli attributi di utenti e gruppi predefinite. **Se non sono necessarie modifiche, scegli Avanti.** Se sono necessarie modifiche, apporta le modifiche e quindi scegli **Salva modifiche**.
1. Nel **passaggio 2, *facoltativo*: configura l'ambito di sincronizzazione**, scegli la scheda **Utenti**. Quindi, inserisci il nome utente esatto dell'utente che desideri aggiungere all'ambito di sincronizzazione e scegli **Aggiungi**. Quindi, scegli la scheda **Gruppi**. Inserisci il nome esatto del gruppo che desideri aggiungere all'ambito di sincronizzazione e scegli **Aggiungi**. Quindi, seleziona **Successivo**. Se desideri aggiungere utenti e gruppi all'ambito di sincronizzazione in un secondo momento, non apportare modifiche e scegli **Avanti**.
1. Nel **Passaggio 3: Rivedi e salva la configurazione**, conferma le **mappature degli attributi nel Passaggio 1: Mappature** **degli attributi e gli Utenti e i** **gruppi** nel **Passaggio 2**: Sincronizzazione dell'ambito. Seleziona **Save configuration** (Salva configurazione). **Verrà visualizzata la pagina Gestisci sincronizzazione.**
# Aggiungi utenti e gruppi all'ambito di sincronizzazione
**Nota**
Quando aggiungi gruppi all'ambito di sincronizzazione, sincronizza i gruppi direttamente dal dominio locale affidabile anziché dai gruppi del AWS Managed Microsoft AD dominio. I gruppi sincronizzati direttamente dal dominio affidabile contengono oggetti utente effettivi a cui IAM Identity Center può accedere e sincronizzare correttamente.
Aggiungi gli utenti e i gruppi di Active Directory a IAM Identity Center seguendo questi passaggi.
**Come aggiungere utenti**
1. Apri la [console Centro identità IAM](https://console.aws.amazon.com/singlesignon).
1. Seleziona **Impostazioni**.
1. Nella pagina **Impostazioni**, scegli la scheda **Origine dell'identità**, scegli **Azioni**, quindi scegli **Gestisci sincronizzazione**.
1. Nella pagina **Gestisci sincronizzazione**, scegli la scheda **Utenti**, quindi scegli **Aggiungi utenti e gruppi**.
1. Nella scheda **Utenti**, in **Utente**, inserisci il nome utente esatto e scegli **Aggiungi**.
1. In **Utenti e gruppi aggiunti**, controlla l'utente che desideri aggiungere.
1. Seleziona **Invia**.
1. Nel pannello di navigazione, seleziona **Utenti**. Se l'utente specificato non viene visualizzato nell'elenco, scegli l'icona di aggiornamento per aggiornare l'elenco degli utenti.
**Per aggiungere gruppi**
1. Apri la [console Centro identità IAM](https://console.aws.amazon.com/singlesignon).
1. Seleziona **Impostazioni**.
1. Nella pagina **Impostazioni**, scegli la scheda **Origine dell'identità**, scegli **Azioni**, quindi scegli **Gestisci sincronizzazione**.
1. Nella pagina **Gestisci sincronizzazione**, scegli la scheda **Gruppi**, quindi scegli **Aggiungi utenti e gruppi**.
1. Scegliere la scheda **Groups (Gruppi)**. In **Gruppo**, inserisci il nome esatto del gruppo e scegli **Aggiungi**.
1. In **Utenti e gruppi aggiunti**, controlla il gruppo che desideri aggiungere.
1. Seleziona **Invia**.
1. Nel riquadro di navigazione, selezionare **Groups (Gruppi )**. Se il gruppo specificato non viene visualizzato nell'elenco, scegli l'icona di aggiornamento per aggiornare l'elenco dei gruppi.
# Rimuovi utenti e gruppi dall'ambito di sincronizzazione
Per ulteriori informazioni su cosa succede quando rimuovi utenti e gruppi dall'ambito di sincronizzazione, consulta[Come funziona la sincronizzazione AD configurabile](how-it-works-configurable-ADsync.md).
**Per rimuovere utenti**
1. Apri la [console Centro identità IAM](https://console.aws.amazon.com/singlesignon).
1. Seleziona **Impostazioni**.
1. Nella pagina **Impostazioni**, scegli la scheda **Origine dell'identità**, scegli **Azioni**, quindi scegli **Gestisci sincronizzazione**.
1. Scegli la scheda **Users** (Utenti);
1. **In Utenti nell'ambito di sincronizzazione**, seleziona la casella di controllo accanto all'utente che desideri eliminare. Per eliminare tutti gli utenti, seleziona la casella di controllo accanto a **Nome utente**.
1. Scegli **Rimuovi**.
**Per rimuovere gruppi**
1. Apri la [console Centro identità IAM](https://console.aws.amazon.com/singlesignon).
1. Seleziona **Impostazioni**.
1. Nella pagina **Impostazioni**, scegli la scheda **Origine dell'identità**, scegli **Azioni**, quindi scegli **Gestisci sincronizzazione**.
1. Scegliere la scheda **Groups (Gruppi)**.
1. **In Gruppi nell'ambito di sincronizzazione**, seleziona la casella di controllo accanto all'utente che desideri eliminare. Per eliminare tutti i gruppi, seleziona la casella di controllo accanto al **nome del gruppo**.
1. Scegli **Rimuovi**.
# Metti in pausa e riprendi la sincronizzazione
La sospensione della sincronizzazione sospende tutti i cicli di sincronizzazione futuri e impedisce che le modifiche apportate a utenti e gruppi in Active Directory si riflettano in IAM Identity Center. Dopo aver ripreso la sincronizzazione, il ciclo di sincronizzazione riprende queste modifiche dalla successiva sincronizzazione pianificata.
**Per mettere in pausa la sincronizzazione**
1. Apri la [console Centro identità IAM](https://console.aws.amazon.com/singlesignon).
1. Seleziona **Impostazioni**.
1. Nella pagina **Impostazioni**, scegli la scheda **Origine dell'identità**, scegli **Azioni**, quindi scegli **Gestisci sincronizzazione**.
1. In **Gestisci sincronizzazione**, scegli **Metti in pausa la sincronizzazione**.
**Per riprendere la sincronizzazione**
1. Apri la [console Centro identità IAM](https://console.aws.amazon.com/singlesignon).
1. Seleziona **Impostazioni**.
1. Nella pagina **Impostazioni**, scegli la scheda **Origine dell'identità**, scegli **Azioni**, quindi scegli **Gestisci sincronizzazione**.
1. In **Gestisci sincronizzazione**, scegli **Riprendi sincronizzazione**.
**Nota**
Se vedi **Sospendi la sincronizzazione** anziché **Riprendi la sincronizzazione, la sincronizzazione** da Active Directory a IAM Identity Center è già stata ripresa.
# Automatizza la configurazione di sincronizzazione per una sincronizzazione AD configurabile
Per garantire che il flusso di lavoro automatizzato funzioni come previsto con la sincronizzazione AD configurabile, ti consigliamo di eseguire i seguenti passaggi per automatizzare la configurazione di sincronizzazione.
**Per automatizzare la configurazione di sincronizzazione per la sincronizzazione AD configurabile**
1. In Active Directory, crea un *gruppo di sincronizzazione principale* che contenga tutti gli utenti e i gruppi che desideri sincronizzare con IAM Identity Center. Ad esempio, puoi assegnare un nome al gruppo *IAMIdentityCenterAllUsersAndGroups*.
1. In IAM Identity Center, aggiungi il gruppo di sincronizzazione principale all'elenco di sincronizzazione configurabile. IAM Identity Center sincronizzerà tutti gli utenti, i gruppi, i sottogruppi e i membri di tutti i gruppi contenuti nel gruppo di sincronizzazione principale.
1. Utilizza le azioni dell'API di gestione di utenti e gruppi di Active Directory fornite da Microsoft per aggiungere o rimuovere utenti e gruppi dal gruppo di sincronizzazione principale.