为用户设置 SageMaker 画布

为 Okta 设置登录方法。

1. 登录 Okta 管理员控制面板。

2. 选择添加应用程序。搜索 AWS 账户联合身份验证。

3. 选择添加。

4. 可选：将名称更改为 Amazon SageMaker Canvas。

5. 选择下一步。

6. 选择 SAML 2.0 作为登录方法。

7. 选择身份提供商元数据以打开元数据 XML 文件。将该文件保存在本地。

8. 选择完成。

1. 登录AWS控制台。

2. 选择 AWS Identity and Access Management (IAM)。

3. 选择身份提供商。

4. 选择创建提供商。

5. 在配置提供商中，指定以下内容：

   • 提供商类型 – 从下拉列表中选择 SAML。

   • 提供商名称 – 指定 Okta。

   • 元数据文档 – 上传在将 SageMaker Canvas 应用程序添加到 Okta的步骤 7 中保存在本地的 XML 文档。

6. 在身份提供商下找到您的身份提供商。复制其提供商 ARN 值。

7. 对于角色，选择用于 Okta SSO 访问的 IAM 角色。

8. 在 IAM 角色的信任关系下，选择编辑信任关系。

9. 通过指定已复制的提供商 ARN 值来修改 IAM 信任关系策略，并添加以下策略：

   JSON

   
     {
     "Version":"2012-10-17",		 	 	 
       "Statement": [
         {
           "Effect": "Allow",
           "Principal": {
             "Federated": "arn:aws:iam::111122223333:saml-provider/Okta"
           },
           "Action": [
             "sts:AssumeRoleWithSAML",
             "sts:TagSession"
           ],
           "Condition": {
             "StringEquals": {
               "SAML:aud": "https://signin.aws.amazon.com/saml"
             }
           }
         },
         {
           "Effect": "Allow",
           "Principal": {
             "Federated": "arn:aws:iam::111122223333:saml-provider/Okta"
           },
           "Action": [
             "sts:SetSourceIdentity"
           ]
         }
       ]
     }
     
   

10. 对于权限，添加以下策略：

    JSON

    
    {
       "Version":"2012-10-17",		 	 	 
       "Statement": [
           {
               "Sid": "AmazonSageMakerPresignedUrlPolicy",
               "Effect": "Allow",
               "Action": [
                    "sagemaker:CreatePresignedDomainUrl"
               ],
               "Resource": "*"
          }
      ]
    }
      
    

要将 Amazon SageMaker Canvas 配置为使用 Okta，请按照本节中的步骤操作。必须为每个SageMakerStudioProfileName字段指定唯一的用户名。例如，您可以将 user.login 用作值。如果用户名与 SageMaker Canvas 配置文件名称不同，请选择不同的唯一标识属性。例如，您可以使用员工的 ID 号作为配置文件名称。

有关可以为属性设置的值的示例，请参阅该过程后面的代码。

1. 在目录下，选择组。

2. 使用以下模式添加一个组：sagemaker#canvas#IAM-role#AWS-account-id。

3. 在 Okta 中，打开 AWS 账户联合身份验证应用程序集成配置。

4. 为AWS账户联合应用程序选择 “登录”。

5. 选择编辑并指定以下内容：

   • SAML 2.0

   • 默认中继状态 — https://Region.console.aws.amazon。 com/sagemaker/home？ region= Region #/ studio/canvas/open。StudioId你可以在控制台中找到 Studio Classic ID：https://console.aws.amazon.com/sagemaker/

6. 选择属性。

7. 在SageMakerStudioProfileName字段中，为每个用户名指定唯一值。用户名必须与您在 AWS 控制台中创建的用户名一致。

   
   Attribute 1:
   Name: https://aws.amazon.com/SAML/Attributes/PrincipalTag:SageMakerStudioUserProfileName 
   Value: ${user.login}
   
   Attribute 2:
   Name: https://aws.amazon.com/SAML/Attributes/TransitiveTagKeys
   Value: {"SageMakerStudioUserProfileName"}
      

8. 选择环境类型。选择常规 AWS。

   • 如果未列出您的环境类型，您可以在 ACS URL 字段中设置 ACS URL。如果您的环境类型已列出，则无需输入 ACS URL

9. 对于身份提供商 ARN，指定您在上述过程的步骤 6 中使用的 ARN。

10. 指定会话持续时间。

11. 选择加入所有角色。

12. 通过指定以下字段来打开使用组映射：

    • 应用程序筛选条件 – okta

    • 组筛选条件 – ^aws\#\S+\#(?IAM-role[\w\-]+)\#(?accountid\d+)$

    • 角色值模式 – arn:aws:iam::$accountid:saml-provider/Okta,arn:aws:iam::$accountid:role/IAM-role

13. 选择保存/下一步。

14. 在分配下，将应用程序分配给您已创建的组。