View a markdown version of this page

Erstellen eines SAML-Identitätsanbieters in IAM - AWS Identitäts- und Zugriffsverwaltung
VoraussetzungenIAM-SAML-Identitätsanbieter erstellen und verwalten (Konsole)Verwaltung von SAML-VerschlüsselungsschlüsselErstellen und verwalten Sie einen IAM SAML Identity Provider (AWS CLI)Erstellen und verwalten Sie einen IAM-SAML-Identitätsanbieter (AWS API)Nächste Schritte

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Erstellen eines SAML-Identitätsanbieters in IAM

Ein IAM-SAML 2.0-Identitätsanbieter ist eine Entität in IAM, die einen externen Identitätsanbieter-Service (Identity Provider, IdP) beschreibt, der den Standard SAML 2.0 (Security Assertion Markup Language 2.0) unterstützt. Sie verwenden einen IAM-Identitätsanbieter, wenn Sie eine Vertrauensstellung zwischen einem SAML-compatible IdP wie Shibboleth oder Active Directory Federation Services herstellen möchten und Ihren Benutzern den AWS Zugriff auf Ressourcen ermöglichen. AWS IAM-SAML-Identitätsanbieter werden als Auftraggeber in einer IAM-Vertrauensrichtlinie verwendet.

Weitere Informationen zu diesem Szenario finden Sie unter SAML 2.0-Föderation.

Sie können einen IAM-Identitätsanbieter in den AWS-Managementkonsole oder mit AWS CLI, Tools für Windows oder API-Aufrufen erstellen und verwalten. PowerShell AWS

Nach dem Erstellen eines SAML-Anbieters müssen Sie eine oder mehrere IAM-Rollen erstellen. Eine Rolle ist eine Identität AWS , die keine eigenen Anmeldeinformationen hat (wie dies bei einem Benutzer der Fall ist). In diesem Zusammenhang wird jedoch einem SAML-Verbundprinzipal, der von Ihrem IDP authentifiziert wird, dynamisch eine Rolle zugewiesen. Die Rolle ermöglicht es dem Identitätsanbieter, temporäre Sicherheitsanmeldeinformationen für den Zugriff auf AWS anzufordern. Die der Rolle zugewiesenen Richtlinien bestimmen, was Benutzer tun dürfen AWS. Weitere Informationen zum Erstellen einer Rolle für den SAML-Verbund finden Sie unter Erstellen einer Rolle für einen externen Identitätsanbieter.

Nachdem Sie die Rolle erstellt haben, vervollständigen Sie schließlich die SAML-Vertrauensstellung, indem Sie Ihren IdP mit Informationen zu AWS und den Rollen konfigurieren, die Ihre SAML-Verbundprinzipale verwenden sollen. Dies wird als Konfiguration der Vertrauensstellung zwischen Ihrem Identitätsanbieter und AWS bezeichnet. Weitere Informationen zum Konfigurieren der Vertrauensstellung für die vertrauende Seite finden Sie unter Konfigurieren Ihres SAML 2.0-IdP mit der Vertrauensstellung der vertrauenden Seite und Hinzufügen von Anträgen.

Voraussetzungen

Bevor Sie einen SAML-Identitätsanbieter erstellen können, benötigen Sie die folgenden Informationen von Ihrem IdP.

  • Rufen Sie das SAML-Metadatendokument von Ihrem IdP ab. Diese Metadatendatei enthält den Namen des Ausstellers, Ablaufinformationen und Schlüssel, die zum Überprüfen der vom IdP empfangenen SAML-Authentifizierung (Zusicherungen) verwendet werden können. Verwenden Sie zum Generieren des Metadatendokuments die von Ihrem externen IdP bereitgestellte Identitätsverwaltungs-Software.

    Wichtig

    Diese Metadatendatei enthält den Namen des Ausstellers, Ablaufinformationen und Schlüssel, die zum Überprüfen der vom IdP empfangenen SAML-Authentifizierung (Zusicherungen) verwendet werden können. Die Metadatendatei muss in einem UTF-8 Format ohne Byte Order Mark (BOM) codiert sein. Um die BOM zu entfernen, können Sie die Datei UTF-8 mit einem Textbearbeitungsprogramm wie Notepad++ kodieren.

    Das als Teil des SAML-Metadatendokuments enthaltene X.509 Zertifikat muss eine Schlüsselgröße von mindestens 1024 Bit verwenden. Außerdem muss das X.509 Zertifikat frei von wiederholten Erweiterungen sein. Sie können Erweiterungen verwenden, diese dürfen jedoch nur einmal im Zertifikat angezeigt werden. Wenn das X.509 Zertifikat keine der beiden Bedingungen erfüllt, schlägt die IdP-Erstellung fehl und es wird der Fehler „Metadaten können nicht analysiert werden“ zurückgegeben.

    Wie im V2.0 SAML-Metadaten-Interoperabilitätsprofil Version 1.0 definiert, bewertet IAM den Ablauf von X.509 Zertifikaten in SAML-Metadatendokumenten nicht und ergreift keine Maßnahmen. Wenn Sie sich Sorgen über abgelaufene X.509 Zertifikate machen, empfehlen wir Ihnen, die Ablaufdaten der Zertifikate zu überwachen und die Zertifikate gemäß den Richtlinien Ihrer Organisation und Sicherheitsrichtlinien zu rotieren.

  • Wenn Sie die SAML-Verschlüsselung aktivieren möchten, müssen Sie mit Ihrem IDP eine private Schlüsseldatei erstellen und diese Datei im PEM-Dateiformat in Ihre IAM-SAML-Konfiguration hochladen. AWS STS benötigt diesen privaten Schlüssel, um SAML-Antworten zu entschlüsseln, die dem auf Ihren IDP hochgeladenen öffentlichen Schlüssel entsprechen. Die folgenden Algorithmen werden unterstützt:

    • Verschlüsselungsalgorithmen

      • AES-128

      • AES-256

      • RSA-OAEP

    • Schlüsseltransportalgorithmen

      • AES-CBC

      • AES-GCM

    Informationen zum Generieren eines privaten Schlüssels finden Sie in der Dokumentation Ihres Identitätsanbieters.

    Anmerkung

    IAM Identity Center und Amazon Cognito unterstützen keine verschlüsselten SAML-Assertionen von IAM-SAML-Identitätsanbietern. Sie können indirekt Unterstützung für verschlüsselte SAML-Assertionen zum Amazon-Cognito-Identitätspool-Verbund mit Amazon-Cognito-Benutzerpools hinzufügen. Benutzerpools verfügen über einen SAML-Verbund, der unabhängig vom IAM-SAML-Verbund ist und SAML-Signatur und -Verschlüsselung unterstützt. Obwohl sich diese Funktion nicht direkt auf Identitätspools erstreckt, können Benutzerpools auch Identitätspools sein IdPs . Um SAML-Verschlüsselung mit Identitätspools zu verwenden, fügen Sie einem Benutzerpool, der ein IdP für einen Identitätspool ist, einen SAML-Anbieter mit Verschlüsselung hinzu.

    Ihr SAML-Anbieter muss in der Lage sein, SAML-Assertionen mit einem von Ihrem Benutzerpool bereitgestellten Schlüssel zu verschlüsseln. Benutzerpools akzeptieren keine Assertionen, die mit einem von IAM bereitgestellten Zertifikat verschlüsselt sind.

Anweisungen zur Konfiguration vieler verfügbarer IdPs Elemente für die Arbeit AWS, einschließlich der Generierung des erforderlichen SAML-Metadatendokuments, finden Sie unterIntegrieren Sie Drittanbieter von SAML-Lösungen mit AWS.

Unterstützung zum SAML-Verbund finden Sie unter Fehlerbehebung beim SAML-Verbund.

IAM-SAML-Identitätsanbieter erstellen und verwalten (Konsole)

Sie können das verwenden, AWS-Managementkonsole um IAM-SAML-Identitätsanbieter zu erstellen, zu aktualisieren und zu löschen. Unterstützung zum SAML-Verbund finden Sie unter Fehlerbehebung beim SAML-Verbund.

So erstellen Sie einen IAM-SAML-Identitätsanbieter (Konsole)

  1. Melden Sie sich bei der an AWS-Managementkonsole und öffnen Sie die IAM-Konsole unter. https://console.aws.amazon.com/iam/

  2. Wählen Sie im Navigationsbereich Identitätsanbieter und dann Anbieter erstellen.

  3. Wählen Sie für die Anbieterkonfiguration SAML.

  4. Geben Sie einen Namen für den Identitätsanbieter ein.

  5. Klicken Sie unter Metadaten-Dokument auf Datei auswählen und geben Sie das SAML-Metadatendokument an, das Sie unter Voraussetzungen heruntergeladen haben.

    Anmerkung

    Das für den Identitätsanbieter angezeigte Gültigkeitsdatum wird von IAM bei der Erstellung des Anbieters festgelegt. Es entspricht nicht den validUntil cacheDuration ODER-Attributen in Ihrem SAML-Metadatendokument. IAM verwendet diese Metadatenattribute nicht, um das Gültigkeitsdatum zu ermitteln.

    IAM bewertet das SAML-Metadatendokument oder die X.509 Zertifikate in SAML-Metadatendokumenten während der SAML-Authentifizierung nicht und ergreift keine Maßnahmen. Die Gültigkeit der SAML-Authentifizierung wird auf Assertionsebene durchgesetzt, wobei das NotOnOrAfter Attribut in den Assertions- und -Elementen verwendet wird. Conditions SubjectConfirmationData Wenn Sie sich Sorgen über abgelaufene X.509 Zertifikate machen, empfehlen wir Ihnen, die Ablaufdaten der Zertifikate zu überwachen und die Zertifikate gemäß den Unternehmensrichtlinien und Sicherheitsrichtlinien Ihres Unternehmens zu rotieren.

  6. (Optional) Wählen Sie für die SAML-Verschlüsselung die Option Datei auswählen und dann die private Schlüsseldatei aus, die Sie in Voraussetzungen erstellt haben. Wählen Sie Verschlüsselung erforderlich, um nur verschlüsselte Anfragen von Ihrem IdP zu akzeptieren.

  7. (Optional) Unter Hinzufügen von Stichwörtern können Sie Schlüssel-Wert-Paare hinzufügen, um Ihre zu identifizieren und zu organisieren. IdPs Sie können auch Tags verwenden, um den Zugriff auf AWS -Ressourcen zu steuern. Weitere Informationen zum Markieren von SAML-Identitätsanbietern finden Sie unter Markieren von IAM-SAML-Identitätsanbieter.

    Wählen Sie Add tag. Geben Sie Werte für jedes Tag-Schlüsselwertpaar ein.

  8. Verifizieren Sie die angegebenen Informationen. Wenn Sie fertig sind, wählen Sie Anbieter hinzufügen.

  9. Weisen Sie Ihrem Identitätsanbieter eine IAM-Rolle zu. Diese Rolle gewährt externen Benutzeridentitäten, die von Ihrem Identitätsanbieter verwaltet werden, die Berechtigungen für den Zugriff auf AWS Ressourcen in Ihrem Konto. Weitere Informationen zum Erstellen von Rollen für den Identitätsverbund finden Sie unter Erstellen einer Rolle für einen externen Identitätsanbieter.

    Anmerkung

    SAML-IDPs, die in einer Rollen-Vertrauensrichtlinie verwendet werden, müssen sich in demselben Konto befinden, in dem sich die Rolle befindet.

So löschen Sie einen SAML-Anbieter (Konsole)

  1. Melden Sie sich bei der an AWS-Managementkonsole und öffnen Sie die IAM-Konsole unter. https://console.aws.amazon.com/iam/

  2. Wählen Sie im Navigationsbereich Identitätsanbieter.

  3. Aktivieren Sie das Kontrollkästchen neben dem Identitätsanbieter, den Sie löschen möchten.

  4. Wählen Sie Löschen aus. Ein neues Fenster wird geöffnet.

  5. Bestätigen Sie, dass Sie den Anbieter löschen möchten, indem Sie das Wort delete in das Feld eingeben. Wählen Sie dann Löschen.

Verwaltung von SAML-Verschlüsselungsschlüssel

Sie können IAM-SAML-Anbieter so konfigurieren, dass sie verschlüsselte Assertionen in der SAML-Antwort von Ihrem externen IdP empfangen. Benutzer können bei verschlüsselten SAML-Assertionen eine Rolle übernehmen, indem sie anrufen. AWS sts:AssumeRoleWithSAML

Durch die SAML-Verschlüsselung wird sichergestellt, dass Aussagen sicher sind, wenn sie über Vermittler oder Dritte übermittelt werden. Darüber hinaus unterstützt Sie dieses Feature dabei, FedRAMP oder andere interne Compliance-Richtlinienanforderungen zu erfüllen, die eine Verschlüsselung von SAML-Assertionen vorschreiben.

Informationen zum Konfigurieren eines IAM-SAML-Identitätsanbieters finden Sie unter Erstellen eines SAML-Identitätsanbieters in IAM. Unterstützung zum SAML-Verbund finden Sie unter Fehlerbehebung beim SAML-Verbund.

Rotieren des SAML-Verschlüsselungsschlüssels

IAM verwendet den privaten Schlüssel, den Sie beim IAM-SAML-Anbieter hochgeladen haben, um verschlüsselte SAML-Assertionen von Ihrem IDP zu entschlüsseln. Sie können für jeden Identitätsanbieter bis zu zwei private Schlüsseldateien speichern, sodass Sie private Schlüssel nach Bedarf rotieren können. Wenn zwei Dateien gespeichert werden, versucht jede Anfrage zuerst, die Datei mit dem neuesten Hinzufügungsdatum zu entschlüsseln. Anschließend versucht IAM, die Anfrage mit dem ältesten Hinzufügungsdatum zu entschlüsseln.

  1. Melden Sie sich bei der an AWS-Managementkonsole und öffnen Sie die IAM-Konsole unter. https://console.aws.amazon.com/iam/

  2. Wählen Sie im Navigationsbereich Identitätsanbieter und wählen Sie dann Ihren Anbieter aus der Liste aus.

  3. Wählen Sie die Registerkarte SAML-Verschlüsselung und dann Neuen Schlüssel hinzufügen aus.

  4. Wählen Sie Datei auswählen und laden Sie den privaten Schlüssel, den Sie von Ihrem IDP heruntergeladen haben, als PEM-Datei hoch. Wählen Sie dann Schlüssel hinzufügen aus.

  5. Wählen Sie im Abschnitt Private Schlüssel für SAML-Entschlüsselung die abgelaufene private Schlüsseldatei aus und wählen Sie Entfernen aus. Wir empfehlen Ihnen, den abgelaufenen privaten Schlüssel zu entfernen, nachdem Sie einen neuen privaten Schlüssel hinzugefügt haben, um sicherzustellen, dass der erste Versuch zum Entschlüsseln Ihrer Assertion erfolgreich ist.

Erstellen und verwalten Sie einen IAM SAML Identity Provider (AWS CLI)

Sie können den verwenden, AWS CLI um SAML-Anbieter zu erstellen, zu aktualisieren und zu löschen. Unterstützung zum SAML-Verbund finden Sie unter Fehlerbehebung beim SAML-Verbund.

Um einen IAM-Identitätsanbieter zu erstellen und ein Metadatendokument hochzuladen (AWS CLI)
Um einen IAM-SAML-Identitätsanbieter zu aktualisieren (AWS CLI)

Sie können die Metadatendatei und die SAML-Verschlüsselungseinstellungen aktualisieren und die Entschlüsselungsdateien für private Schlüssel für Ihren IAM-SAML-Anbieter rotieren. Um private Schlüssel zu rotieren, fügen Sie Ihren neuen privaten Schlüssel hinzu und entfernen Sie dann den alten Schlüssel in einer separaten Anforderung. Weitere Informationen zum Rotieren von privaten Schlüsseln finden Sie unter Verwaltung von SAML-Verschlüsselungsschlüssel.

Um einen vorhandenen IAM-Identitätsanbieter zu taggen (AWS CLI)
Um Tags für einen vorhandenen IAM-Identitätsanbieter aufzulisten (AWS CLI)
Um Tags auf einem vorhandenen IAM-Identitätsanbieter zu entfernen (AWS CLI)
Um einen IAM-SAML-Identitätsanbieter zu löschen (AWS CLI)

  1. (Optional) Führen Sie zum Auflisten der Informationen für alle Anbieter (z. B. ARN, Erstellungsdatum und Ablaufdatum) folgenden Befehl aus:

  2. (Optional) Um Informationen zu einem bestimmten Anbieter abzurufen, z. B. ARN, Erstellungsdatum, Ablaufdatum, Verschlüsselungseinstellungen und Informationen zum privaten Schlüssel, führen Sie den folgenden Befehl aus:

  3. Führen Sie zum Löschen eines IAM-Identitätsanbieters den folgenden Befehl aus:

Erstellen und verwalten Sie einen IAM-SAML-Identitätsanbieter (AWS API)

Sie können die AWS API verwenden, um SAML-Anbieter zu erstellen, zu aktualisieren und zu löschen. Unterstützung zum SAML-Verbund finden Sie unter Fehlerbehebung beim SAML-Verbund.

Um einen IAM-Identitätsanbieter zu erstellen und ein Metadatendokument hochzuladen (AWS API)
Um einen IAM-SAML-Identitätsanbieter zu aktualisieren (AWS API)

Sie können die Metadatendatei und die SAML-Verschlüsselungseinstellungen aktualisieren und die Entschlüsselungsdateien für private Schlüssel für Ihren IAM-SAML-Anbieter rotieren. Um private Schlüssel zu rotieren, fügen Sie Ihren neuen privaten Schlüssel hinzu und entfernen Sie dann den alten Schlüssel in einer separaten Anforderung. Weitere Informationen zum Rotieren von privaten Schlüsseln finden Sie unter Verwaltung von SAML-Verschlüsselungsschlüssel.

Um einen vorhandenen IAM-Identitätsanbieter zu taggen (AWS API)
Um Tags für einen vorhandenen IAM-Identitätsanbieter aufzulisten (AWS API)
Um Tags auf einem vorhandenen IAM-Identitätsanbieter zu entfernen (AWS API)
Um einen IAM-Identitätsanbieter zu löschen (AWS API)

  1. (Optional) Rufen Sie den folgenden Vorgang auf IdPs, um Informationen für alle aufzulisten, z. B. den ARN, das Erstellungsdatum und das Ablaufdatum:

  2. (Optional) Um Informationen zu einem bestimmten Anbieter abzurufen, z. B. ARN, Erstellungsdatum, Ablaufdatum, Verschlüsselungseinstellungen und private Schlüsselinformationen, rufen Sie die folgende Operation auf:

  3. Rufen Sie zum Löschen eines Identitätsanbieters die folgende Operation auf:

Nächste Schritte

Nachdem Sie einen SAML-Identitätsanbieter erstellt haben, richten Sie die Vertrauensstellung der vertrauenden Partei mit Ihrem IdP ein. Sie können auch Anträge aus der Authentifizierungsantwort Ihres IdP in Richtlinien verwenden, um den Zugriff auf eine Rolle zu steuern.