Configuración de la sincronización del correo electrónico para los usuarios federados en Amazon QuickSight

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

En la edición Amazon QuickSight Enterprise, como administrador, puede impedir que los nuevos usuarios utilicen direcciones de correo electrónico personales cuando aprovisionen directamente a través de su proveedor de identidad (IdP). QuickSight QuickSight a continuación, utiliza las direcciones de correo electrónico preconfiguradas que se transfieren a través del IdP al aprovisionar nuevos usuarios a su cuenta. Por ejemplo, puede hacer que solo se usen las direcciones de correo electrónico asignadas por la empresa cuando se aprovisionen usuarios a su QuickSight cuenta a través de su IdP.

Al configurar la sincronización del correo electrónico para los usuarios federados en QuickSight, los usuarios que inician sesión en su QuickSight cuenta por primera vez tienen direcciones de correo electrónico preasignadas. Se utilizan para registrar sus cuentas. Con este enfoque, los usuarios pueden omitir manualmente esto ingresando una dirección de correo electrónico. Además, los usuarios no pueden usar una dirección de correo electrónico que pueda diferir de la dirección de correo electrónico que indique en calidad de administrador.

QuickSight admite el aprovisionamiento a través de un IdP que admite la autenticación SAML u OpenID Connect (OIDC). Para configurar las direcciones de correo electrónico de los nuevos usuarios al aprovisionar a través de un IdP, debe actualizar la relación de confianza del rol de IAM que utilizan con AssumeRoleWithSAML o AssumeRoleWithWebIdentity. A continuación, agrega un atributo SAML o un token OIDC a su IdP. Por último, se activa la sincronización del correo electrónico para los usuarios federados en. QuickSight

Los siguientes procedimientos describen los pasos de manera más detallada.

Paso 1: actualice la relación de confianza del rol de IAM con AssumeRoleWithSAML o AssumeRoleWithWebIdentity

Puede configurar las direcciones de correo electrónico para que las usen sus usuarios cuando aprovisionen a través de su QuickSight IdP. Para ello, agregue la acción sts:TagSession a la relación de confianza del rol de IAM que utilice con AssumeRoleWithSAML o AssumeRoleWithWebIdentity. De este modo, puede transferir etiquetas principal cuando los usuarios asuman el rol.

El siguiente ejemplo ilustra un rol de IAM actualizado en el que el IdP es Okta. Para utilizar este ejemplo, actualice el nombre de recurso de Amazon (ARN) Federated con el ARN de su proveedor de servicios. Puede reemplazar los elementos en rojo con su información específica del servicio AWS y del IdP.

{
    "Version": "2012-10-17",
    "Statement": [
    {
        "Effect": "Allow",
        "Principal": {
        "Federated": "arn:aws:iam::account-id:saml-provider/Okta"
        },
        "Action": "sts:AssumeRoleWithSAML",
        "Condition": {
        "StringEquals": {
            "SAML:aud": "https://signin.aws.amazon.com/saml"
        }
        }
    },
    {
        "Effect": "Allow",
        "Principal": {
        "Federated": "arn:aws:iam::account-id:saml-provider/Okta"
        },
        "Action": "sts:TagSession",
        "Condition": {
        "StringLike": {
            "aws:RequestTag/Email": "*"
        }
        }
    }
    ]
    }

Paso 2: adición de un atributo SAML o un token OIDC para la etiqueta de la entidad principal de IAM en su IdP

Tras actualizar la relación de confianza del rol de IAM como se describe en la sección anterior, agregue un atributo SAML o un token OIDC para la etiqueta Principal de IAM en su IdP.

Los siguientes ejemplos ilustran un atributo SAML y un token OIDC. Para usar estos ejemplos, reemplace la dirección de correo electrónico por una variable en su IdP que apunte a la dirección de correo electrónico de un usuario. Puede reemplazar los elementos resaltados en rojo por su información.

Paso 3: Activa la sincronización del correo electrónico para los usuarios federados en QuickSight

Como se ha descrito anteriormente, actualice la relación de confianza del rol de IAM y agregue un atributo SAML o un token OIDC para la etiqueta Principal de IAM en su IdP. A continuación, active la sincronización del correo electrónico para los usuarios federados tal y QuickSight como se describe en el siguiente procedimiento.