Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
Fournisseurs d'identité et fédération AWS
À titre de meilleure pratique, nous vous recommandons de demander aux utilisateurs humains d'utiliser la fédération avec un fournisseur d'identité pour accéder aux AWS ressources au lieu de créer des utilisateurs IAM individuels dans votre Compte AWS. Avec un fournisseur d'identité (IdP), vous pouvez gérer les identités de vos utilisateurs en dehors de AWS celui-ci et leur accorder les autorisations nécessaires pour utiliser les AWS ressources de votre compte. Ceci est utile si votre organisation dispose déjà de son propre système d'identité, par exemple un répertoire d'utilisateurs d'entreprise. Il est également utile si vous créez une application mobile ou une application Web nécessitant l'accès à AWS des ressources.
Note
Vous pouvez également gérer les utilisateurs humains dans l’IAM Identity Center avec un fournisseur d’identité SAML externe plutôt que d’utiliser la fédération SAML dans IAM. La fédération IAM Identity Center avec un fournisseur d'identité vous permet de donner aux utilisateurs l'accès à plusieurs AWS comptes de votre organisation et à de multiples AWS applications. Pour en savoir plus sur les situations spécifiques dans lesquelles un utilisateur IAM est nécessaire, veuillez consulter Quand créer un utilisateur IAM (au lieu d'un rôle).
Si vous préférez utiliser un seul AWS compte sans activer IAM Identity Center, vous pouvez utiliser IAM avec un IdP externe qui fournit des informations d'identité à l' AWS aide d'OpenID Connect (OIDC) ou de SAML 2.0 (Security Assertion Markup Language 2.0).
Lorsque vous utilisez un fournisseur d'identité , vous n'avez pas à créer de code de connexion personnalisé ni à gérer vos propres identités utilisateur. L'IdP prévoit cela pour vous. Vos utilisateurs externes se connectent via un IdP et vous pouvez autoriser ces identités externes à utiliser les AWS ressources de votre compte. Les fournisseurs d'identité contribuent à Compte AWS assurer votre sécurité, car vous n'avez pas à distribuer ou à intégrer des informations de sécurité à long terme, telles que des clés d'accès, dans votre application.
Consultez le tableau suivant pour déterminer le type de fédération IAM le mieux adapté à votre cas d’utilisation : IAM, IAM Identity Center ou Amazon Cognito. Les résumés et le tableau suivants fournissent une vue d'ensemble des méthodes que vos utilisateurs peuvent utiliser pour obtenir un accès fédéré aux AWS ressources.
| Type de fédération IAM | Account type (Type de compte) | Gestion de l'accès de… | Source d'identité prise en charge |
|---|---|---|---|
|
Fédération avec IAM Identiy Center |
Comptes multiples gérés par AWS Organizations |
Les utilisateurs humains de votre personnel |
|
|
Fédération avec IAM |
Compte unique et autonome |
|
|
|
Fédération avec les réserves d'identités Amazon Cognito |
N’importe lequel |
Les utilisateurs d'applications qui nécessitent une autorisation IAM pour accéder aux ressources |
|
Fédération avec IAM Identiy Center
Pour une gestion centralisée des accès des utilisateurs humains, nous vous recommandons d'utiliser IAM Identity Center pour gérer l'accès à vos comptes et les autorisations au sein de ceux-ci. Les utilisateurs d'IAM Identity Center reçoivent des informations d'identification de courte durée pour accéder à vos AWS ressources. Vous pouvez utiliser Active Directory, un fournisseur d'identité externe (IdP) ou un annuaire IAM Identity Center comme source d'identité permettant aux utilisateurs et aux groupes d'attribuer l'accès à vos AWS ressources.
IAM Identity Center prend en charge la fédération d'identités avec SAML (Security Assertion Markup Language) 2.0 afin de fournir un accès d'authentification unique fédéré aux utilisateurs autorisés à utiliser les applications du portail d'accès. AWS Les utilisateurs peuvent ensuite accéder à des services prenant en charge le protocole SAML, notamment à Console de gestion AWS des applications tierces telles que Microsoft 365, SAP Concur et Salesforce.
Fédération avec IAM
Bien que nous recommandions fortement de gérer les utilisateurs humains dans IAM Identity Center, vous pouvez activer l’accès principal fédéré avec IAM pour les utilisateurs humains dans le cadre de déploiements à court terme et à petite échelle. IAM vous permet d'utiliser SAML 2.0 et Open ID Connect (OIDC) IdPs séparément et d'utiliser des attributs principaux fédérés pour le contrôle d'accès. Avec IAM, vous pouvez transmettre des attributs utilisateur, tels que le centre de coûts, le titre ou les paramètres régionaux, de votre adresse IdPs à AWS et implémenter des autorisations d'accès affinées en fonction de ces attributs.
Une charge de travail est un ensemble de ressources et de code qui fournit une valeur business, par exemple une application destinée au client ou un processus de backend. Votre charge de travail peut nécessiter une identité IAM pour adresser des demandes à AWS des services, des applications, des outils opérationnels et des composants. Ces identités incluent les machines qui s'exécutent dans vos AWS environnements, telles que les instances ou les AWS Lambda fonctions Amazon EC2.
Vous pouvez également gérer les Identités machine pour les parties externes qui ont besoin d'un accès. Pour donner accès aux identités des machines, vous pouvez utiliser des rôles IAM. Les rôles IAM disposent d'autorisations spécifiques et fournissent un moyen d'accès AWS en s'appuyant sur des informations d'identification de sécurité temporaires associées à une session de rôle. En outre, il se peut AWS que des machines extérieures aient besoin d'accéder à vos AWS environnements. Pour les machines qui s'exécutent en dehors de AWS vous, vous pouvez utiliser IAM Roles Anywhere. Pour plus d'informations sur les rôles , consultez Rôles IAM. Pour plus de détails sur l'utilisation des rôles pour déléguer l'accès entre Comptes AWS eux, consultezTutoriel IAM : accès délégué via AWS comptes utilisant des rôles IAM.
Pour lier un IdP directement à IAM, vous créez une entité fournisseur d'identité afin d'établir une relation de confiance entre vous Compte AWS et l'IdP. Supports IAM IdPs compatibles avec OpenID Connect (OIDC) ou SAML 2.0 (Security Assertion Markup Language 2.0).
Fédération avec les réserves d'identités Amazon Cognito
Amazon Cognito est conçu pour les développeurs qui souhaitent authentifier et autoriser les utilisateurs dans leurs applications mobiles et Web. Les groupes d'utilisateurs Amazon Cognito ajoutent des fonctionnalités de connexion et d'inscription à votre application, et les réserves d'identités fournissent des informations d'identification IAM qui permettent à vos utilisateurs d'accéder aux ressources protégées que vous gérez dans AWS. Les réserves d'identités obtiennent des informations d'identification pour les sessions temporaires par le biais de l'opération API AssumeRoleWithWebIdentity.
Amazon Cognito travaille avec des fournisseurs d'identité externes qui prennent en charge SAML et OpenID Connect, ainsi qu'avec des fournisseurs d'identité sociaux tels que Facebook, Google et Amazon. Votre application peut connecter un utilisateur appartenant à un groupe d'utilisateurs ou à un IdP externe, puis récupérer des ressources en son nom grâce à des sessions temporaires personnalisées dans un rôle IAM.
Ressources supplémentaires
-
Pour une démonstration de la création d'un proxy de fédération personnalisé qui permet l'authentification unique (SSO) à l' Console de gestion AWS aide du système d'authentification de votre organisation, consultez. Activez l'accès personnalisé du courtier d'identité au AWS console
-
Pour obtenir des instructions sur la manière d'autoriser vos AWS charges de travail à accéder à des services externes sans stocker d'informations d'identification, consultezFédérer AWS Identités vis-à-vis des services externes.
