Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Identitätsanbieter und Verbund in AWS
Als bewährte Methode empfehlen wir, menschliche Benutzer dazu zu verpflichten, einen Verbund mit einem Identitätsanbieter für den Zugriff auf AWS Ressourcen zu verwenden, anstatt einzelne IAM-Benutzer in Ihrem System zu erstellen. AWS-Konto Mit einem Identitätsanbieter (IdP) können Sie Ihre Benutzeridentitäten außerhalb Ihres Kontos verwalten AWS und diesen externen Benutzeridentitäten Berechtigungen zur Nutzung der AWS Ressourcen in Ihrem Konto erteilen. Dies ist hilfreich, wenn Sie in Ihrer Organisation bereits ein eigenes Identitätssystem wie ein unternehmensweites Benutzerverzeichnis verwenden. Dies ist auch nützlich, wenn Sie eine mobile App oder Webanwendung erstellen, für die Zugriff auf Ressourcen erforderlich ist. AWS
Anmerkung
Sie können menschliche Benutzer im IAM Identity Center auch mit einem externen SAML-Identitätsanbieter verwalten, anstatt den SAML-Verbund in IAM zu verwenden. Der IAM Identity Center-Verbund mit einem Identitätsanbieter bietet Ihnen die Möglichkeit, Personen Zugriff auf mehrere AWS Konten in Ihrer Organisation und auf mehrere AWS Anwendungen zu gewähren. Informationen zu bestimmten Situationen, in denen ein IAM-Benutzer erforderlich ist, finden Sie unter Wann sollte ein IAM-Benutzer (anstelle einer Rolle) erstellt werden?.
Wenn Sie lieber ein einzelnes AWS Konto verwenden möchten, ohne IAM Identity Center zu aktivieren, können Sie IAM mit einem externen IdP verwenden, der Identitätsinformationen für OpenID Connect (OIDC) oder SAML 2.0 (Security Assertion Markup Language 2.0) bereitstellt. AWS
Wenn Sie einen -Identitätsanbieter verwenden, müssen Sie keinen eigenen Anmeldecode schreiben oder eigene Benutzeridentitäten verwalten. Der Identitätsanbieter erledigt das für Sie. Ihre externen Benutzer melden sich über einen IdP an, und Sie können diesen externen Identitäten Berechtigungen zur Nutzung der AWS Ressourcen in Ihrem Konto erteilen. Identitätsanbieter tragen zu Ihrer AWS-Konto Sicherheit bei, da Sie keine langfristigen Sicherheitsanmeldeinformationen wie Zugriffsschlüssel verteilen oder in Ihre Anwendung einbetten müssen.
Sehen Sie sich die folgende Tabelle an, um herauszufinden, welcher IAM-Verbundtyp für Ihren Anwendungsfall am besten geeignet ist: IAM, IAM Identity Center oder Amazon Cognito. Die folgenden Zusammenfassungen und die folgende Tabelle bieten einen Überblick über die Methoden, die Ihre Benutzer verwenden können, um Verbundzugriff auf Ressourcen zu AWS erhalten.
| IAM-Verbund-Typ | Account type (Art des Kontos) | Zugriffsverwaltung von: | Unterstützte Identitätsquelle |
|---|---|---|---|
|
Verbund mit IAM Identity Center |
Mehrere Konten werden verwaltet von AWS Organizations |
Die menschlichen Benutzer Ihrer Belegschaft |
|
|
Verbund mit IAM |
Einzelnes, eigenständiges Konto |
|
|
|
Verwenden von Amazon Cognito Sync mit Identitätspools |
Beliebig |
Die Benutzer von Apps, die für den Zugriff auf Ressourcen eine IAM-Autorisierung benötigen |
|
Verbund mit IAM Identity Center
Für eine zentralisierte Zugriffsverwaltung von menschlichen Benutzern empfehlen wir Ihnen die Verwendung von IAM Identity Center, um den Zugriff auf Ihre Konten und die Berechtigungen innerhalb dieser Konten zu verwalten. Benutzern im IAM Identity Center werden kurzfristige Anmeldeinformationen für Ihre AWS Ressourcen gewährt. Sie können Active Directory, einen externen Identitätsanbieter (IdP) oder ein IAM Identity Center-Verzeichnis als Identitätsquelle für Benutzer und Gruppen verwenden, um den Zugriff auf Ihre Ressourcen zuzuweisen. AWS
IAM Identity Center unterstützt den Identitätsverbund mit SAML (Security Assertion Markup Language) 2.0, um Benutzern, die berechtigt sind, Anwendungen innerhalb des Zugriffsportals zu verwenden, den Verbundzugriff über Single Sign-On zu ermöglichen. AWS Benutzer können sich dann per Single Sign-On bei Diensten anmelden, die SAML unterstützen, einschließlich der Anwendungen von Drittanbietern wie Microsoft 365, SAP Concur AWS-Managementkonsole und Salesforce.
Verbund mit IAM
Wir empfehlen zwar dringend, menschliche Benutzer in IAM Identity Center zu verwalten, aber Sie können den Verbundprinzipalzugriff mit IAM für menschliche Benutzer in kurzfristigen, kleinen Bereitstellungen aktivieren. IAM ermöglicht es Ihnen, SAML 2.0 und Open ID Connect (OIDC) IdPs getrennt zu verwenden und Verbundprinzipalattribute für die Zugriffskontrolle zu verwenden. Mit IAM können Sie Benutzerattribute wie Kostenstelle, Titel oder Gebietsschema von Ihnen an übergeben und auf der Grundlage dieser Attribute IdPs feingranulare AWS Zugriffsberechtigungen implementieren.
Eine Workload ist eine Sammlung von Ressourcen und Code, die einen geschäftlichen Nutzen erbringen, z. B. eine Anwendung oder ein Backend-Prozess. Ihr Workload kann eine IAM-Identität erfordern, um Anfragen an AWS Dienste, Anwendungen, Betriebstools und Komponenten zu stellen. Zu diesen Identitäten gehören Maschinen, die in Ihren AWS Umgebungen ausgeführt werden, wie z. B. Amazon EC2-Instances oder -Funktionen. AWS Lambda
Sie können auch Maschinenidentitäten für externe Parteien verwalten, die Zugriff benötigen. Um Zugriff auf Maschinenidentitäten zu gewähren, können Sie IAM-Rollen verwenden. IAM-Rollen verfügen über spezifische Berechtigungen und ermöglichen den Zugriff, AWS indem sie sich bei einer Rollensitzung auf temporäre Sicherheitsanmeldeinformationen verlassen. Darüber hinaus benötigen möglicherweise auch Computer außerhalb AWS dieses Bereichs Zugriff auf Ihre AWS Umgebungen. Für Maschinen, die außerhalb von AWS Ihnen ausgeführt werden, können Sie IAM Roles Anywhere verwenden. Weitere Informationen zu Rollen finden Sie unter IAM-Rollen. Weitere Informationen zur Verwendung von Rollen zum Delegieren von Zugriffsrechten finden Sie AWS-Konten unter. IAM-Tutorial: Zugriff delegieren AWS Konten, die IAM-Rollen verwenden
Um einen IdP direkt mit IAM zu verknüpfen, erstellen Sie eine Identitätsanbieter-Entität, um eine Vertrauensbeziehung zwischen Ihnen AWS-Konto und dem IdP herzustellen. IAM-Unterstützungen IdPs , die mit OpenID Connect (OIDC) oder SAML 2.0 (Security Assertion Markup Language 2.0) kompatibel sind.
Verwenden von Amazon Cognito Sync mit Identitätspools
Amazon Cognito wurde für Entwickler entwickelt, die Benutzer in ihren Mobil- und Web-Apps authentifizieren und autorisieren möchten. Amazon-Cognito-Benutzerpools fügen Ihrer App Anmelde- und Registrierungsfunktionen hinzu, und Identitätspools stellen IAM-Anmeldeinformationen bereit, die Ihren Benutzern Zugriff auf geschützte Ressourcen gewähren, die Sie in AWS verwalten. Identitätspools erwerben über den API-Vorgang AssumeRoleWithWebIdentity Anmeldeinformationen für temporäre Sitzungen.
Amazon Cognito arbeitet mit externen Identitätsanbietern zusammen, die SAML und OpenID Connect unterstützen, sowie mit Anbietern sozialer Identitäten wie Facebook, Google und Amazon. Ihre App kann einen Benutzer mit einem Benutzerpool oder einem externen IdP anmelden und dann Ressourcen in seinem Namen mit benutzerdefinierten temporären Sitzungen in einer IAM-Rolle abrufen.
Weitere Ressourcen
-
Eine Demonstration zum Erstellen eines benutzerdefinierten Verbundproxys, der Single Sign-On (SSO) für die AWS-Managementkonsole Verwendung des Authentifizierungssystems Ihrer Organisation ermöglicht, finden Sie unterAktivieren Sie den benutzerdefinierten Identity Broker-Zugriff auf den AWS Konsole.
-
Anweisungen, wie Sie Ihren AWS Workloads den Zugriff auf externe Dienste ermöglichen, ohne Anmeldeinformationen zu speichern, finden Sie unter. Föderieren AWS Identitäten für externe Dienste
