AD FS

Im folgenden Verfahren wird beschrieben, wie Sie eine Vertrauensbeziehung einrichten.

1. Erstellen oder verwenden Sie einen vorhandenen Amazon-Redshift-Cluster, mit dem sich Ihre AD-FS-Benutzer verbinden können. Um die Verbindung zu konfigurieren, werden bestimmte Eigenschaften dieses Clusters benötigt, z. B. die Clusterkennung. Weitere Informationen finden Sie unter Erstellen eines Clusters.

2. Richten Sie AD FS ein, um den Amazon-Redshift-Zugriff auf die Microsoft Management Console zu steuern:

   1. Wählen Sie ADFS2.0 und anschließend Add Relying Party Trust aus. Wählen Sie auf der Seite Add Relying Party Trust Wizard (Assistent zum Hinzufügen vertrauender Parteien) die Option Start.

   2. Wählen Sie auf der Seite Select Data Source (Datenquelle auswählen) die Option Import data about the relying party published online or on a local network (Online oder im lokalen Netzwerk veröffentlichte Daten über die vertrauende Partei importieren).

   3. Geben Sie für Federation-Metadatenadresse (Hostname oderURL) Folgendes einhttps://signin.aws.amazon.com/saml-metadata.xml. Bei der XML Metadatendatei handelt es sich um ein standardmäßiges SAML Metadatendokument, in dem AWS beschrieben wird, dass es sich um eine vertrauende Partei handelt.

   4. Geben Sie auf der Seite Specify Display Name (Anzeigename angeben) einen Wert für Display name (Anzeigename) ein.

   5. Wählen Sie auf der Seite Choose Issuance Authorization Rules (Ausgabeautorisierungsregeln auswählen)eine Ausgabeautorisierungsregel aus, um allen Benutzern den Zugriff auf diese vertrauende Partei zu erlauben oder zu verweigern.

   6. Überprüfen Sie auf der Seite Ready to Add trust (Bereit zum Hinzufügen von Vertrauensstellungen) Ihre Einstellungen.

   7. Wählen Sie auf der Seite Finish (Fertig stellen) die Option Open the Edit Claim Rules dialog for this relying party trust when the wizard closes (Nach Abschluss des Assistenten das Dialogfeld „Antragsregeln bearbeiten“ für diese Vertrauensstellung der vertrauenden Seite öffnen).

   8. Wählen Sie im Kontextmenü (Rechtsklick) Relying Party Trusts (Vertrauensstellungen von vertrauenden Parteien).

   9. Öffnen Sie für Ihre vertrauende Partei das Kontextmenü (Rechtsklick), und wählen Sie Edit Claim Rules (Antragsregeln bearbeiten). Wählen Sie auf der Seite Edit Claim Rules (Antragsregeln bearbeiten) die Option Add Rule (Regel hinzufügen).

   10. Wählen Sie als Vorlage für eine Anspruchsregel die Option Eingehenden Anspruch transformieren aus, und gehen Sie dann auf der NameId Seite Regel bearbeiten — wie folgt vor:

       • Geben Sie als Namen der Anspruchsregel Folgendes ein NameId.

       • Wählen Sie unter Incoming claim name (Name des eingehenden Antrags) die Option Windows Account Name (Windows-Kontoname).

       • Wählen Sie unter Outgoing claim name (Name des ausgehenden Antrags) die Option Name ID.

       • Wählen Sie unter Outgoing name ID format (Format der ausgehenden Namens-ID) die Option Persistent identifier (Persistente ID).

       • Wählen Sie Pass through all claim values (Alle Antragswerte durchleiten).

   11. Wählen Sie auf der Seite Edit Claim Rules (Antragsregeln bearbeiten) die Option Add Rule (Regel hinzufügen). Wählen Sie auf der Seite „Regelvorlage auswählen“ für Vorlage für Anspruchsregeln die Option LDAPAttribute als Ansprüche senden aus.

   12. Führen Sie auf der Seite Configure Rule (Regel konfigurieren) die folgenden Schritte aus:

       • Geben Sie unter Claim rule name (Name der Antragsregel) RoleSessionName ein.

       • Wählen Sie unter Attribute store (Attributspeicher) Active Directory.

       • Wählen Sie für LDAPAttribut die Option E-Mail-Adressen aus.

       • Wählen Sie bei Outgoing Claim Type (Art des ausgehenden Anspruchs) https://aws.amazon.com/SAML/Attributes/RoleSessionName aus.

   13. Wählen Sie auf der Seite Edit Claim Rules (Antragsregeln bearbeiten) die Option Add Rule (Regel hinzufügen). Wählen Sie auf der Seite Select Rule Template (Regelvorlage auswählen) für Claim rule template (Antragsregelvorlage) die Option Send Claims Using a Custom Rule (Anträge mit benutzerdefinierter Regel senden).

   14. Geben Sie auf der Seite Edit Rule – Get AD Groups (Regel bearbeiten – AD-Gruppen abrufen) für Claim rule name (Name der Antragsregel) Get AD Groups (AD-Gruppen abrufen) ein.

   15. Geben Sie unter Custom rule (Benutzerdefinierte Regel) Folgendes ein.

       c:[Type ==
                                           "http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname",
                                           Issuer == "AD AUTHORITY"] => add(store = "Active Directory",
                                           types = ("http://temp/variable"), query = ";tokenGroups;{0}",
                                           param = c.Value);

   16. Wählen Sie auf der Seite Edit Claim Rules (Antragsregeln bearbeiten) die Option Add Rule (Regel hinzufügen). Wählen Sie auf der Seite Select Rule Template (Regelvorlage auswählen) für Claim rule template (Antragsregelvorlage) die Option Send Claims Using a Custom Rule (Anträge mit benutzerdefinierter Regel senden).

   17. Geben Sie auf der Seite Edit Rule - Roles (Regel bearbeiten — Rollen) für Claim rule name Namen der Antragsregel Roles (Rollen) ein.

   18. Geben Sie unter Custom rule (Benutzerdefinierte Regel) Folgendes ein.

       c:[Type == "http://temp/variable", Value =~ "(?i)^AWS-"] => issue(Type = "https://aws.amazon.com/SAML/Attributes/Role", Value = RegExReplace(c.Value, "AWS-", "arn:aws:iam::123456789012:saml-provider/ADFS,arn:aws:iam::123456789012:role/ADFS-"));

       Notieren Sie sich ARNs den SAML Anbieter und die Rolle, die Sie übernehmen möchten. In diesem Beispiel arn:aws:iam:123456789012:saml-provider/ADFS ist es der ARN des SAML Anbieters und arn:aws:iam:123456789012:role/ADFS- ist ARN der der Rolle.

3. Stellen Sie sicher, dass Sie die federationmetadata.xml-Datei heruntergeladen haben. Überprüfen Sie, dass der Dokumentinhalt keine ungültigen Zeichen enthält. Dies ist die Metadatendatei, die Sie beim Konfigurieren der Vertrauensstellung mit verwenden AWS.

4. Erstellen Sie einen IAM SAML Identitätsanbieter auf der IAM Konsole. Das von Ihnen bereitgestellte Metadatendokument ist die XML Verbund-Metadatendatei, die Sie bei der Einrichtung von Azure Enterprise Application gespeichert haben. Ausführliche Schritte finden Sie im IAMBenutzerhandbuch unter Erstellen und Verwalten eines IAM Identitätsanbieters (Konsole).

5. Erstellen Sie eine IAM Rolle für den SAML 2.0-Verbund auf der IAM Konsole. Eine ausführliche Anleitung finden Sie unter Rolle erstellen für SAML im IAMBenutzerhandbuch.

6. Erstellen Sie eine IAM Richtlinie, die Sie der IAM Rolle zuordnen können, die Sie für den SAML 2.0-Verbund auf der IAM Konsole erstellt haben. Eine ausführliche Anleitung finden Sie unter IAMRichtlinien erstellen (Konsole) im IAMBenutzerhandbuch. Ein Azure AD-Beispiel finden Sie unter Einrichtung JDBC der ODBC Single-Sign-On-Authentifizierung.