Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Configuración de la sincronización del correo electrónico para los usuarios federados en Amazon QuickSight

En la edición Amazon QuickSight Enterprise, como administrador, puede impedir que los nuevos usuarios utilicen direcciones de correo electrónico personales cuando aprovisionen directamente a través de su proveedor de identidad (IdP). QuickSight QuickSight a continuación, utiliza las direcciones de correo electrónico preconfiguradas que se transfieren a través del IdP al aprovisionar nuevos usuarios a su cuenta. Por ejemplo, puede hacer que solo se usen las direcciones de correo electrónico asignadas por la empresa cuando se aprovisionen usuarios a su QuickSight cuenta a través de su IdP.

Cuando configuras la sincronización del correo electrónico para los usuarios federados en QuickSight, los usuarios que inician sesión en tu QuickSight cuenta por primera vez tienen direcciones de correo preasignadas. Se utilizan para registrar sus cuentas. Con este enfoque, los usuarios pueden omitir manualmente esto ingresando una dirección de correo electrónico. Además, los usuarios no pueden usar una dirección de correo electrónico que pueda diferir de la dirección de correo electrónico que indique en calidad de administrador.

QuickSight admite el aprovisionamiento a través de un IdP que admite la SAML autenticación OpenID Connect OIDC (). Para configurar las direcciones de correo electrónico de los nuevos usuarios al aprovisionar a través de un IdP, debe actualizar la relación de confianza IAM del rol que utilizan AssumeRoleWithSAML con o. AssumeRoleWithWebIdentity A continuación, añades un SAML atributo o un OIDC token a su IdP. Por último, activas la sincronización del correo electrónico para los usuarios federados en. QuickSight

Los siguientes procedimientos describen los pasos de manera más detallada.

Paso 1: actualice la relación de confianza del IAM rol con AssumeRoleWithSAML o AssumeRoleWithWebIdentity

Puede configurar las direcciones de correo electrónico para que las usen sus usuarios cuando aprovisionen a través de su QuickSight IdP. Para ello, añada la sts:TagSession acción a la relación de confianza del IAM rol que utilice con AssumeRoleWithSAML o. AssumeRoleWithWebIdentity De este modo, puede transferir etiquetas principal cuando los usuarios asuman el rol.

El siguiente ejemplo ilustra un IAM rol actualizado en el que el IdP es Okta. Para usar este ejemplo, actualiza el nombre del recurso de Federated Amazon (ARN) con el ARN de tu proveedor de servicios. Puede sustituir los elementos en rojo por sus AWS e información específica del servicio de IdP.

{
    "Version": "2012-10-17",
    "Statement": [
    {
        "Effect": "Allow",
        "Principal": {
        "Federated": "arn:aws:iam::account-id:saml-provider/Okta"
        },
        "Action": "sts:AssumeRoleWithSAML",
        "Condition": {
        "StringEquals": {
            "SAML:aud": "https://signin.aws.amazon.com/saml"
        }
        }
    },
    {
        "Effect": "Allow",
        "Principal": {
        "Federated": "arn:aws:iam::account-id:saml-provider/Okta"
        },
        "Action": "sts:TagSession",
        "Condition": {
        "StringLike": {
            "aws:RequestTag/Email": "*"
        }
        }
    }
    ]
    }

Paso 2: Agrega un SAML atributo o un OIDC token para la etiqueta IAM principal de tu IdP

Tras actualizar la relación de confianza del IAM rol como se describe en la sección anterior, añada un SAML atributo o un OIDC token para la IAM Principal etiqueta en su IdP.

Los siguientes ejemplos ilustran un SAML atributo y un OIDC token. Para usar estos ejemplos, reemplace la dirección de correo electrónico por una variable en su IdP que apunte a la dirección de correo electrónico de un usuario. Puede reemplazar los elementos resaltados en rojo por su información.

Paso 3: Activa la sincronización del correo electrónico para los usuarios federados en QuickSight

Como se ha descrito anteriormente, actualice la relación de confianza del IAM rol y añada un SAML atributo o un OIDC token para la IAM Principal etiqueta en su IdP. A continuación, active la sincronización del correo electrónico para los usuarios federados tal y QuickSight como se describe en el siguiente procedimiento.