Föderierten Zugriff auf Athena aktivieren API

Um den föderierten Zugriff auf die API Athena zu aktivieren:

1. Registrieren Sie sich in Ihrer Organisation AWS als Service Provider (SP) in Ihrem IdP. Dieser Prozess wird als Vertrauensstellung der vertrauenden Seite bezeichnet. Weitere Informationen finden Sie im IAMBenutzerhandbuch unter Konfiguration Ihres SAML 2.0-IdP mit Vertrauensstellung durch vertrauende Parteien. Führen Sie als Teil dieser Aufgabe die folgenden Schritte aus:

   1. Das SAML Metadaten-Beispieldokument finden Sie hierURL:https://signin.aws.amazon.com/static/saml-metadata.xml.

   2. Generieren Sie im IdP (ADFS) Ihrer Organisation eine entsprechende XML Metadatendatei, die Ihren IdP als Identitätsanbieter beschreibt für AWS. Ihre Metadatendatei muss den Namen des Ausstellers, das Erstellungsdatum, das Ablaufdatum und die folgenden Schlüssel enthalten AWS verwendet, um Authentifizierungsantworten (Assertionen) von Ihrer Organisation zu validieren.

2. Erstellen Sie in der IAM Konsole eine SAML Identitätsanbieter-Entität. Weitere Informationen finden Sie im IAMBenutzerhandbuch unter Creating SAML Identity Providers. Tun Sie im Rahmen dieses Schritts Folgendes:

   1. Öffnen Sie die IAM Konsole unter https://console.aws.amazon.com/iam/.

   2. Laden Sie das vom IdP (ADFS) in Schritt 1 dieses Verfahrens erstellte SAML Metadatendokument hoch.

3. Erstellen Sie in der IAM Konsole eine oder mehrere IAM Rollen für Ihren IdP. Weitere Informationen finden Sie im IAMBenutzerhandbuch unter Erstellen einer Rolle für einen externen Identitätsanbieter (Federation). Tun Sie im Rahmen dieses Schritts Folgendes:

   • Führen Sie in der Berechtigungsrichtlinie der Rolle die Aktionen auf, die Benutzer aus Ihrer Organisation ausführen dürfen AWS.

   • Legen Sie in der Vertrauensrichtlinie der Rolle die SAML Anbieterentität, die Sie in Schritt 2 dieses Verfahrens erstellt haben, als Principal fest.

   Dadurch entsteht eine Vertrauensbeziehung zwischen Ihrer Organisation und AWS.

4. Definieren Sie im IdP (ADFS) Ihrer Organisation Assertionen, die Benutzer oder Gruppen in Ihrer Organisation den IAM Rollen zuordnen. Die Zuordnung von Benutzern und Gruppen zu den IAM Rollen wird auch als Anspruchsregel bezeichnet. Beachten Sie, dass verschiedene Benutzer und Gruppen in Ihrer Organisation möglicherweise unterschiedlichen IAM Rollen zugeordnet werden.

   Informationen zur Konfiguration der Zuordnung finden Sie im ADFS Blogbeitrag: Enabling Federation to AWS mit Windows Active DirectoryADFS, und SAML 2.0.

5. Installieren und konfigurieren Sie den JDBC ODBC OR-Treiber mit SAML 2.0-Unterstützung. Weitere Informationen finden Sie unter Connect zu Amazon Athena her mit JDBC und Connect zu Amazon Athena her mit ODBC.

6. Geben Sie die Verbindungszeichenfolge zwischen Ihrer Anwendung und dem ODBC Treiber JDBC oder an. Informationen zu der Verbindungszeichenfolge, die Ihre Anwendung verwenden sollte, finden Sie im Thema „Verwenden des Active Directory Federation Services (ADFS) Credentials Provider“ im JDBCTreiberinstallations- und Konfigurationshandbuch oder in einem ähnlichen Thema im ODBCTreiberinstallations- und Konfigurationshandbuch, das als PDF Downloads unter den Connect zu Amazon Athena her mit ODBC Themen Connect zu Amazon Athena her mit JDBC und verfügbar ist.

   Die allgemeine Zusammenfassung der Konfiguration der Verbindungszeichenfolge für die Treiber ist wie folgt:

   1. Geben Sie im Feld com.simba.athena.iamsupport.plugin.AdfsCredentialsProvider anAwsCredentialsProviderClass configuration, dass Sie die SAML 2.0-basierte Authentifizierung über ADFS IdP verwenden möchten.

   2. Geben Sie für idp_host den Hostnamen des ADFS IdP-Servers an.

   3. Geben Sie für idp_port die Portnummer an, auf der der ADFS IdP die SAML Assertion-Anfrage abhört.

   4. Geben Sie für UID und PWD die AD-Domain-Benutzeranmeldeinformationen an. Wenn Sie den Treiber auf Windows verwenden und UID und PWD nicht angegeben sind, versucht der Treiber, die Anmeldeinformationen des Benutzers abzurufen, der an dem Windows-Computer angemeldet ist.

   5. Optional können Sie für ssl_insecure den Wert true festlegen. In diesem Fall überprüft der Treiber nicht die Echtheit des SSL Zertifikats für den ADFS IdP-Server. Die Einstellung auf true ist erforderlich, wenn das SSL Zertifikat des ADFS IdP nicht so konfiguriert wurde, dass es vom Treiber als vertrauenswürdig eingestuft wird.

   6. Um die Zuordnung eines Active Directory-Domänenbenutzers oder einer Gruppe zu einer oder mehreren IAM Rollen zu ermöglichen (wie in Schritt 4 dieses Verfahrens beschrieben), geben Sie in der preferred_role ODBC Verbindung JDBC oder die IAM Rolle (ARN) an, die für die Treiberverbindung übernommen werden soll. Die Angabe der preferred_role ist optional, aber nützlich, wenn die Rolle nicht die erste in der Anspruchsregel aufgeführte Rolle ist.

   Aufgrund dieses Verfahrens werden die folgenden Aktionen ausgeführt:

   1. Der ODBC Treiber JDBC oder ruft den AWS STS AssumeRoleWithSAMLAPI, und übergibt ihm die Assertions, wie in Schritt 4 des Architekturdiagramms dargestellt.

   2. AWS stellt sicher, dass die Anfrage zur Übernahme der Rolle von dem IdP stammt, auf den in der SAML Anbieterentität verwiesen wird.

   3. Wenn die Anfrage erfolgreich ist, AWS STS AssumeRoleWithSAMLAPIOperation gibt einen Satz temporärer Sicherheitsanmeldeinformationen zurück, die Ihre Client-Anwendung verwendet, um signierte Anfragen an Athena zu stellen.

      Ihre Anwendung verfügt nun über Informationen zum aktuellen Benutzer und kann programmgesteuert auf Athena zugreifen.