So konfigurieren Sie SAML 2.0 für AWS-Kontoverbund

SAML ist ein Standard zum Protokollieren von Benutzern, indem es den Identitätsanbietern ermöglicht wird, Anmeldeinformationen an die Dienstanbieter zu übergeben. Dieser Single Sign-On (SSO)-Standard hat mehrere Vorteile gegenüber der Anmeldung mit Benutzernamen und Passwörtern, wie zum Beispiel, dass Sie keine Anmeldeinformationen eingeben müssen und sich niemand Passwörter merken und erneuern muss. Die meisten Unternehmen kennen jetzt die Benutzeridentitäten, wenn sie sich bei ihrem Active Directory anmelden. Die Verwendung dieser Daten zum Anmelden von Benutzern in anderen Programmen, wie z. B. webbasierten Anwendungen, ist sinnvoll, und eine der ausgefeiltesten Möglichkeiten hierfür ist die Verwendung von SAML. Die Identifikation des Kunden wird mittels SAML SSO von einem Standort (Identitätsanbieter) zu einem anderen (Dienstanbieter) übertragen. Dies wird durch den Austausch digital signierter XML-Dokumente erreicht.

Endbenutzer können SAML SSO verwenden, um sich bei einem oder mehreren AWS-Konten zu authentifizieren und dank der Integration von Okta in AWS Zugriff auf bestimmte Positionen zu erhalten. Okta-Administratoren können Rollen von einem oder mehreren AWS in Okta herunterladen und sie Benutzern zuweisen. Darüber hinaus können Okta-Administratoren auch die Länge der authentifizierten Benutzersitzung mit Okta . festlegen. Den Endbenutzern werden AWS-Bildschirme mit einer Liste von AWS-Benutzerrollen bereitgestellt. Sie können eine Anmelderolle auswählen, die sie übernehmen möchten, die ihre Berechtigungen für die Dauer dieser authentifizierten Sitzung bestimmt. determine.

Um Okta ein einzelnes AWS-Konto hinzuzufügen, befolgen Sie die folgenden Anweisungen:

Okta als Identitätsanbieter konfigurieren:

Zunächst müssen Sie Okta als Identity Provider konfigurieren und eine SAML-Verbindung herstellen. Melden Sie sich bei Ihrer AWS-Konsole an und wählen Sie die Option „Identity and Access Management“ aus dem Dropdown-Menü. Öffnen Sie in der Menüleiste „Identity Providers“ und erstellen Sie eine neue Instanz für Identity Provider, indem Sie auf „Add Provider“ klicken.” Ein neuer Bildschirm wird angezeigt, der als Bildschirm "Anbieter konfigurieren" bekannt ist.

Wählen Sie hier „SAML“ als „Anbietertyp“ aus, geben Sie „Okta“ als „Anbietername“ ein und laden Sie das Metadatendokument mit der folgenden Zeile hoch:

Nachdem Sie die Konfiguration des Identitätsanbieters abgeschlossen haben, gehen Sie zur Liste der Identitätsanbieter und kopieren Sie den "Anbieter-ARN"-Wert für den gerade entwickelten Identitätsanbieter.

Identitätsanbieter als vertrauenswürdige Quelle hinzufügen:

Nachdem Sie Okta als Identitätsanbieter konfiguriert haben, den Okta abrufen und Benutzern zuweisen kann, können Sie vorhandene IAM-Positionen erstellen oder aktualisieren. Okta SSO kann Ihren Benutzern nur Rollen anbieten, die für den Zugriff auf den zuvor installierten Okta SAML Identity Provider konfiguriert sind.

Um Zugriff auf bereits vorhandene Rollen im Konto zu gewähren, wählen Sie zunächst die Rolle aus, die Okta SSO verwenden soll, aus der Option „Rollen“ in der Menüleiste. Bearbeiten Sie die "Vertrauensbeziehung" für diese Rolle auf der Registerkarte "Textbeziehung". Damit SSO in Okta den zuvor konfigurierten SAML-Identitätsanbieter verwenden kann, müssen Sie die IAM-Vertrauensbeziehungsrichtlinie ändern. Wenn Ihre Richtlinie leer ist, schreiben Sie den folgenden Code und überschreiben Sie mit dem Wert, den Sie beim Konfigurieren von Okta kopiert haben:

Ansonsten einfach das bereits geschriebene Dokument bearbeiten. Falls Sie Zugriff auf eine neue Rolle gewähren möchten, gehen Sie auf der Registerkarte Rollen zu Rolle erstellen. Verwenden Sie für den Typ der vertrauenswürdigen Entität SAML 2.0 Föderation. Fahren Sie mit der Berechtigung fort, nachdem Sie den Namen des IDP als SAML-Anbieter ausgewählt haben, d.e., Okta, und ermöglicht den Zugriff auf Management und programmgesteuerte Steuerung. Wählen Sie die Richtlinie aus, die dieser neuen Rolle zugewiesen werden soll, und schließen Sie die Konfiguration ab.

Generieren des API-Zugriffsschlüssels für Okta zum Herunterladen von Rollen:

Damit Okta automatisch eine Liste möglicher Rollen aus Ihrem Konto importiert, erstellen Sie einen AWS-Benutzer mit eindeutigen Berechtigungen. Dadurch können die Administratoren Benutzer und Gruppen schnell und sicher an bestimmte AWS-Rollen delegieren. Wählen Sie dazu zunächst IAM in der Konsole aus. Klicken Sie in dieser Liste auf Benutzer und Benutzer hinzufügen in diesem Bereich Add.

Klicken Sie auf Berechtigungen, nachdem Sie den Benutzernamen hinzugefügt und den programmatischen Zugriff erteilt haben. Richtlinie erstellen, nachdem Sie die Option "Richtlinien direkt anhängen" ausgewählt und auf "Richtlinie erstellen" geklickt haben.” Fügen Sie den unten angegebenen Code hinzu, und Ihr Richtliniendokument sieht so aus:

Weitere Informationen finden Sie bei Bedarf in der AWS-Dokumentation. Geben Sie den bevorzugten Namen Ihrer Police ein. Gehen Sie zurück zu Ihrer Registerkarte "Benutzer hinzufügen" und hängen Sie die kürzlich erstellte Richtlinie daran an. Suchen Sie nach der soeben erstellten Richtlinie und wählen Sie sie aus. Speichern Sie nun die angezeigten Schlüssel, d.e., Zugriffsschlüssel-ID und geheimer Zugriffsschlüssel.

Konfigurieren des AWS-Kontoverbunds:

Nachdem Sie alle oben genannten Schritte abgeschlossen haben, öffnen Sie die AWS-Kontoverband-App und ändern Sie einige Standardeinstellungen in Okta. Bearbeiten Sie auf der Registerkarte Anmelden Ihren Umgebungstyp. ACS URL kann im Bereich ACS URL eingestellt werden. Im Allgemeinen ist der ACS-URL-Bereich optional; Sie müssen es nicht einfügen, wenn Ihr Umgebungstyp bereits angegeben ist. Geben Sie den Provider-ARN-Wert des Identitätsanbieters ein, den Sie bei der Konfiguration von Okta erstellt haben, und geben Sie auch die Sitzungsdauer an. Führen Sie alle verfügbaren Rollen zusammen, die jedem zugewiesen wurden, indem Sie auf die Option Alle Rollen beitreten klicken.

Nachdem Sie alle diese Änderungen gespeichert haben, wählen Sie bitte die nächste Registerkarte, d.e., Registerkarte "Bereitstellung" und bearbeiten Sie ihre Spezifikationen. Die Integration der AWS Account Federation-App unterstützt keine Bereitstellung. Gewähren Sie Okta API-Zugriff, um die Liste der AWS-Rollen herunterzuladen, die während der Benutzerzuweisung verwendet werden, indem Sie die API-Integration aktivieren. Tragen Sie die Schlüsselwerte, die Sie nach der Generierung der Zugangsschlüssel gespeichert haben, in die entsprechenden Felder ein. Geben Sie die IDs aller Ihrer verbundenen Konten an und überprüfen Sie die API-Anmeldeinformationen, indem Sie auf die Option API-Anmeldeinformationen testen klicken.

Erstellen Sie Benutzer und ändern Sie Kontoattribute, um alle Funktionen und Berechtigungen zu aktualisieren. Wählen Sie nun auf dem Bildschirm Personen zuweisen einen Testbenutzer aus, der die SAML-Verbindung testet. Wählen Sie alle Regeln aus, die Sie diesem Testbenutzer aus den SAML-Benutzerrollen im Bildschirm Benutzerzuweisung zuweisen möchten. Nach Abschluss des Zuweisungsprozesses zeigt das Dashboard der Test-Okta ein AWS-Symbol an. Klicken Sie auf diese Option, nachdem Sie sich beim Testbenutzerkonto angemeldet haben. Sie sehen einen Bildschirm mit allen Ihnen zugewiesenen Aufgaben.

Fazit:

SAML ermöglicht es Benutzern, einen Satz autorisierter Anmeldeinformationen zu verwenden und sich ohne weitere Anmeldungen mit anderen SAML-fähigen Web-Apps und -Diensten zu verbinden. AWS SSO macht es einfach, den Verbundzugriff auf verschiedene AWS-Datensätze, -Services und -Anwendungen halbwegs zu überwachen, und bietet den Kunden Single Sign-On-Erfahrung für alle ihre zugewiesenen Datensätze, Services und Anwendungen von einem Ort aus. AWS SSO arbeitet mit einem Identitätsanbieter eigener Wahl, d. h.e., Okta oder Azure über SAML-Protokoll.