Création d'un rôle pour la fédération SAML 2.0 (console)

Avant de créer un rôle pour une fédération SAML basée, vous devez créer un SAML fournisseur dansIAM. Pour de plus amples informations, veuillez consulter Créez un fournisseur SAML d'identité dans IAM.

Préparez les politiques pour le rôle que les utilisateurs SAML authentifiés 2.0 joueront. Comme pour tout rôle, le rôle de la SAML fédération comprend deux politiques. L'une est la politique de confiance de rôle qui spécifie la personne capable d'endosser le rôle. L'autre est la politique d'IAMautorisation qui spécifie les AWS actions et les ressources auxquelles l'utilisateur fédéré est autorisé ou non à accéder.

Lorsque vous créez la politique de confiance pour votre rôle, vous devez utiliser trois valeurs pour vous assurer que seule votre application peut assumer le rôle :

L'exemple de politique de confiance suivant est conçu pour un utilisateur SAML fédéré :

{
    "Version": "2012-10-17",
    "Statement": {
      "Effect": "Allow",
      "Action": "sts:AssumeRoleWithSAML",
      "Principal": {"Federated": "arn:aws:iam::account-id:saml-provider/PROVIDER-NAME"},
      "Condition": {"StringEquals": {"SAML:aud": "https://signin.aws.amazon.com/saml"}}
    }
  }

Remplacez le principal ARN par le principal ARN pour le SAML fournisseur dans lequel vous l'avez crééIAM. Il utilisera votre propre ID de compte et nom du fournisseur.

Connectez-vous à la IAM console AWS Management Console et ouvrez-la à l'adresse https://console.aws.amazon.com/iam/.

Dans le volet de navigation de la IAM console, sélectionnez Rôles, puis sélectionnez Créer un rôle.

Choisissez le type de rôle de fédération SAML 2.0.

Pour Sélectionner un SAML fournisseur, choisissez le fournisseur correspondant à votre rôle.

Choisissez la méthode du niveau d'accès SAML 2.0.

Les rôles créés par les deux méthodes sont similaires, mais le rôle qui peut aussi être endossé depuis la console inclut une politique d'approbation contenant une condition particulière. Cette condition garantit explicitement que l'SAMLaudience (SAML:audattribut) est définie sur le point de terminaison de AWS connexion pour SAML (https://signin.aws.amazon.com/saml).

Si vous créez un rôle pour un accès par programme, choisissez un attribut dans la liste Attribut. Ensuite, dans le champ Value (Valeur), tapez une valeur à inclure dans le rôle. Cela limite l'accès aux rôles aux utilisateurs du fournisseur d'identité dont la réponse SAML d'authentification (assertion) inclut les attributs que vous spécifiez. Vous devez spécifier au moins un attribut afin de garantir la limitation du rôle à un sous-ensemble d'utilisateurs de votre organisation.

Si vous créez un rôle pour l'accès à la programmation et à la console, l'SAML:audattribut est automatiquement ajouté et défini sur le point URL de AWS SAML terminaison (https://signin.aws.amazon.com/saml).

Pour ajouter d'autres conditions liées aux attributs à la politique d'approbation, choisissez Condition (optional) (Conditions [facultatif]), sélectionnez la condition supplémentaire et spécifiez une valeur.

Passez en revue vos informations de confiance SAML 2.0, puis choisissez Next.

IAMinclut une liste des politiques AWS gérées et gérées par le client dans votre compte. Sélectionnez la politique à utiliser pour la politique d'autorisations ou choisissez Create policy (Créer une politique) pour ouvrir un nouvel onglet de navigateur et créer une nouvelle politique de bout en bout. Pour de plus amples informations, veuillez consulter Création de IAM politiques. Une fois la politique créée, fermez cet onglet et revenez à l'onglet initial. Cochez la case à côté des politiques d'autorisation que vous souhaitez OIDC appliquer aux utilisateurs fédérés. Si vous préférez, vous pouvez ne sélectionner aucune stratégie pour le moment, puis les attacher au rôle ultérieurement. Par défaut, un rôle ne dispose d'aucune autorisation.

(Facultatif) Définissez une limite d'autorisations. Il s'agit d'une fonctionnalité avancée.

Ouvrez la section Set permissions boundary (Définir une limite d'autorisations) et choisissez Use a permissions boundary to control the maximum role permissions (Utiliser une limite d'autorisations pour contrôler le nombre maximum d'autorisations de rôle). Sélectionnez la politique à utiliser comme limite d'autorisations.

Choisissez Suivant.

Choisissez Suivant : vérification.

Pour Role name (Nom du rôle), saisissez un nom de rôle. Les noms de rôles doivent être uniques au sein de votre Compte AWS. Ils ne sont pas sensibles à la casse. Par exemple, vous ne pouvez pas créer deux rôles nommés PRODROLE et prodrole. Comme d'autres AWS ressources peuvent faire référence au rôle, vous ne pouvez pas modifier le nom du rôle une fois celui-ci créé.

(Facultatif) Pour Description, saisissez une description pour le nouveau rôle.

Choisissez Edit (Modifier) dans les sections Step 1: Select trusted entities (Étape 1 : sélection d'entités de confiance) ou Step 2: Add permissions (Étape 2 : ajouter des autorisations) pour modifier les cas d'utilisation et les autorisations pour le rôle.

(Facultatif) Ajoutez des métadonnées au rôle en associant les identifications sous forme de paires clé-valeur. Pour plus d'informations sur l'utilisation de balises dansIAM, consultezTags pour les AWS Identity and Access Management ressources.

Passez en revue les informations du rôle, puis choisissez Créer un rôle.