Bereitstellung eines externen Identitätsanbieters in IAM Identity Center mit SCIM

Wenn Sie eine primäre E-Mail-Adresse bereitstellen, muss dieser Attributwert für jeden Benutzer eindeutig sein. In einigen IdPs Fällen ist die primäre E-Mail-Adresse möglicherweise keine echte E-Mail-Adresse. Beispielsweise könnte es sich um einen universellen Prinzipalnamen (UPN) handeln, der nur wie eine E-Mail aussieht. Diese IdPs können eine sekundäre oder „andere“ E-Mail-Adresse haben, die die tatsächliche E-Mail-Adresse des Benutzers enthält. Sie müssen Ihren IdP so konfigurierenSCIM, dass die eindeutige E-Mail-Adresse, die nicht NULL ist, dem primären E-Mail-Adressattribut von IAM Identity Center zugeordnet wird. Und Sie müssen die eindeutige Anmelde-ID des Benutzers, die nicht NULL ist, dem IAM Identity Center-Benutzernamenattribut zuordnen. Prüfen Sie, ob Ihr IdP einen einzigen Wert hat, der sowohl die Anmelde-ID als auch den E-Mail-Namen des Benutzers ist. Wenn ja, können Sie dieses IdP-Feld sowohl der primären IAM Identity Center-E-Mail-Adresse als auch dem IAM Identity Center-Benutzernamen zuordnen.

Damit die SCIM Synchronisation funktioniert, müssen für jeden Benutzer die Werte Vorname, Nachname, Benutzername und Anzeigename angegeben werden. Wenn einer dieser Werte bei einem Benutzer fehlt, wird diesem Benutzer keine Provisionierung zugewiesen.

Wenn Sie Anwendungen von Drittanbietern verwenden müssen, müssen Sie zunächst das Attribut für den ausgehenden SAML Betreff dem Benutzernamenattribut zuordnen. Wenn die Drittanbieteranwendung eine routbare E-Mail-Adresse benötigt, müssen Sie Ihrem IdP das E-Mail-Attribut zur Verfügung stellen.

SCIMDie Bereitstellungs- und Aktualisierungsintervalle werden von Ihrem Identitätsanbieter gesteuert. Änderungen an Benutzern und Gruppen in Ihrem Identity Provider werden erst in IAM Identity Center übernommen, nachdem Ihr Identity Provider diese Änderungen an IAM Identity Center gesendet hat. Einzelheiten zur Häufigkeit von Benutzer- und Gruppenaktualisierungen erhalten Sie bei Ihrem Identitätsanbieter.

Derzeit werden mehrwertige Attribute (wie mehrere E-Mails oder Telefonnummern für einen bestimmten Benutzer) nicht bereitgestellt. SCIM Versuche, mehrwertige Attribute mit IAM Identity Center zu synchronisieren, schlagen fehl. SCIM Um Fehler zu vermeiden, stellen Sie sicher, dass für jedes Attribut nur ein einziger Wert übergeben wird. Wenn Sie Benutzer mit mehrwertigen Attributen haben, entfernen oder ändern Sie die doppelten Attributzuordnungen in SCIM Ihrem IdP für die Verbindung mit Identity Center. IAM

Stellen Sie sicher, dass die externalId SCIM Zuordnung bei Ihrem IdP einem Wert entspricht, der eindeutig und immer präsent ist und sich für Ihre Benutzer am wenigsten ändern wird. Beispielsweise kann Ihr IdP eine garantierte objectId oder eine andere Kennung bereitstellen, auf die sich Änderungen an Benutzerattributen wie Name und E-Mail nicht auswirken. Wenn ja, können Sie diesen Wert dem SCIM externalId Feld zuordnen. Dadurch wird sichergestellt, dass Ihre Benutzer nicht verlieren AWS Berechtigungen, Zuweisungen oder Berechtigungen, falls Sie ihren Namen oder ihre E-Mail-Adresse ändern müssen.

Benutzer, die noch keiner Anwendung zugewiesen wurden oder AWS-Konto kann nicht in IAM Identity Center bereitgestellt werden. Um Benutzer und Gruppen zu synchronisieren, stellen Sie sicher, dass sie der Anwendung oder einem anderen Setup zugewiesen sind, das die Verbindung Ihres IdP mit IAM Identity Center darstellt.

Das Verhalten bei der Deprovisionierung von Benutzern wird vom Identitätsanbieter verwaltet und kann je nach Implementierung variieren. Einzelheiten zur Deprovisionierung von Benutzern erhalten Sie bei Ihrem Identitätsanbieter.