本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

使用 IAM 和 Amazon Quick Suite 設定 IdP 聯合

您可以使用 AWS Identity and Access Management (IAM) 角色和轉送狀態 URL 來設定符合 SAML 2.0 的身分提供者 (IdP)。角色會授予使用者存取 Amazon Quick Suite 的許可。轉送狀態是 AWS成功驗證身分後將使用者轉送到其中的入口網站。

先決條件

設定 SAML 2.0 連線之前，請執行下列動作：

AWS 管理主控台 如教學課程所述，建立與 聯合的設定後，您可以編輯教學課程中提供的轉送狀態。您可以使用 Amazon Quick Suite 的轉送狀態來執行此操作，如以下步驟 5 所述。

如需詳細資訊，請參閱下列資源：

步驟 1：在 中建立 SAML 供應商 AWS

您的 SAML 身分提供者會定義組織的 IdP AWS。這會使用您先前使用 IdP 產生的中繼資料文件進行定義。

步驟 2： AWS 為您的聯合身分使用者在 中設定許可

接著，建立 IAM 角色，以便建立 IAM 和組織的 IdP 之間的信任關係。這個角色會基於聯合目的將您的 IdP 識別為委託人 (信任的實體)。此角色也會定義哪些透過您組織的 IdP 驗證的使用者可以存取 Amazon Quick Suite。如需有關建立用於 SAML IdP 的角色的詳細資訊，請參閱《IAM 使用者指南》中的為 SAML 2.0 聯合身分建立角色。

建立角色之後，您可以透過將內嵌政策連接至角色，將角色限制為只有 Amazon Quick Suite 的許可。下列範例政策文件提供 Amazon Quick Suite 的存取權。此政策允許使用者存取 Amazon Quick Suite，並允許他們建立作者帳戶和讀者帳戶。

    {
    "Statement": [
        {
            "Action": [
                "quicksight:CreateUser"
            ],
            "Effect": "Allow",
            "Resource": [
                "arn:aws:quicksight::<YOUR_AWS_ACCOUNT_ID>:user/${aws:userid}"
            ]
        }
    ],
    "Version": "2012-10-17"		 	 	 
    }
    

如果您想要提供 Amazon Quick Suite 的存取權，以及建立 Amazon Quick Suite 管理員、作者 （標準使用者） 和讀者的功能，您可以使用下列政策範例。

    {
    "Statement": [
        {
            "Action": [
                "quicksight:CreateAdmin"
            ],
            "Effect": "Allow",
            "Resource": [
                "arn:aws:quicksight::<YOUR_AWS_ACCOUNT_ID>:user/${aws:userid}"
            ]
        }
    ],
    "Version": "2012-10-17"		 	 	 
    }
                

您可以在 中檢視帳戶詳細資訊 AWS 管理主控台。

在您設定一項或多項 SAML 和 IAM 政策之後，您不需要手動邀請使用者。使用者第一次開啟 Amazon Quick Suite 時，會使用政策中的最高層級許可自動佈建。例如，如果使用者有 quicksight:CreateUser 和 quicksight:CreateReader 的許可，則系統會將這些使用者佈建為作者。如果使用者也有 quicksight:CreateAdmin 的許可，則會佈建成為管理員。每個許可層級均能夠建立相同層級和以下層級的使用者。例如，作者可以新增其他作者或讀者。

在邀請使用者的人員所指派的角色中，會建立獲得手動邀請的使用者。使用者不需要有授予許可的政策。

步驟 3：設定 SAML IdP

建立 IAM 角色後，請將您的 SAML IdP 更新 AWS 為服務提供者。為此，請安裝在 https://signin.aws.amazon.com/static/saml-metadata.xml 找到的 saml-metadata.xml 檔案。

若要更新 IdP 中繼資料，請參閱 IdP 提供的指示。部分提供者為您提供了輸入該 URL 的選項，此後，IdP 將為您取得並安裝該檔案。另一些提供者則要求您從該 URL 處下載檔案，然後將其做為本機檔案提供。

如需詳細資訊，請參閱 IdP 文件。

步驟 4：為 SAML 身分驗證回應建立聲明

接著，設定 IdP 做為 SAML 屬性傳遞至 的資訊 AWS ，做為身分驗證回應的一部分。如需詳細資訊，請參閱《IAM 使用者指南》中的的為身分驗證回應設定 SAML 聲明。

步驟 5：設定聯合的轉送狀態

最後，設定聯合的轉送狀態，以指向 Amazon Quick Suite 轉送狀態 URL。身分驗證成功後 AWS，會將使用者導向 Amazon Quick Suite，定義為 SAML 身分驗證回應中的轉送狀態。

Amazon Quick Suite 的轉送狀態 URL 如下所示。

https://quicksight.aws.amazon.com