Activer l'accès fédéré à l'Athena API

Pour activer l'accès fédéré à l'Athena API :

1. Dans votre organisation, inscrivez-vous AWS en tant que fournisseur de services (SP) dans votre IdP. Ce processus est connu sous le nom d'approbation des parties utilisatrices. Pour plus d'informations, consultez la section Configuration de votre IdP SAML 2.0 en toute confiance dans le Guide de l'IAMutilisateur. Dans le cadre de cette tâche, effectuez les étapes suivantes :

   1. Obtenez l'exemple de document de SAML métadonnées à partir de ceci URL :https://signin.aws.amazon.com/static/saml-metadata.xml.

   2. Dans l'IdP (ADFS) de votre organisation, générez un XML fichier de métadonnées équivalent qui décrit votre IdP en tant que fournisseur d'identité pour AWS. Votre fichier de métadonnées doit inclure le nom de l'émetteur, la date de création, la date d'expiration et les clés qui AWS utilise pour valider les réponses d'authentification (assertions) de votre organisation.

2. Dans la IAM console, créez une entité de fournisseur SAML d'identité. Pour plus d'informations, consultez la section Création de fournisseurs SAML d'identité dans le guide de IAM l'utilisateur. Dans le cadre de cette étape, effectuez ce qui suit :

   1. Ouvrez la IAM console à l'adresse https://console.aws.amazon.com/iam/.

   2. Téléchargez le document de SAML métadonnées produit par l'IdP (ADFS) à l'étape 1 de cette procédure.

3. Dans la IAM console, créez un ou plusieurs IAM rôles pour votre IdP. Pour plus d'informations, consultez la section Création d'un rôle pour un fournisseur d'identité tiers (fédération) dans le guide de IAM l'utilisateur. Dans le cadre de cette étape, effectuez ce qui suit :

   • Dans la politique d'autorisation du rôle, listez les actions que les utilisateurs de votre organisation sont autorisés à effectuer dans AWS.

   • Dans la politique de confiance du rôle, définissez l'entité SAML fournisseur que vous avez créée à l'étape 2 de cette procédure comme entité principale.

   Cela établit une relation de confiance entre votre organisation et AWS.

4. Dans l'IdP (ADFS) de votre organisation, définissez des assertions qui associent les utilisateurs ou les groupes de votre organisation aux rôles. IAM Le mappage des utilisateurs et des groupes aux IAM rôles est également connu sous le nom de règle de réclamation. Notez que les différents utilisateurs et groupes de votre organisation peuvent correspondre à différents IAM rôles.

   Pour plus d'informations sur la configuration du mappage dansADFS, consultez le billet de blog : Enabling federation to AWS à l'aide de Windows Active Directory et SAML 2.0. ADFS

5. Installez et configurez le ODBC pilote JDBC or avec le support SAML 2.0. Pour plus d'informations, consultez Connectez-vous à Amazon Athena avec JDBC et Connectez-vous à Amazon Athena avec ODBC.

6. Spécifiez la chaîne de connexion entre votre application et le ODBC pilote JDBC or. Pour plus d'informations sur la chaîne de connexion que votre application doit utiliser, consultez la rubrique « Utilisation du fournisseur d'informations d'identification Active Directory Federation Services (ADFS) » du guide d'installation et de configuration du JDBC pilote, ou une rubrique similaire du guide d'installation et de configuration des ODBC pilotes disponible en PDF téléchargement depuis les Connectez-vous à Amazon Athena avec ODBC rubriques Connectez-vous à Amazon Athena avec JDBC et.

   Le résumé global de la configuration de la chaîne de connexion pour les pilotes est le suivant :

   1. Dans leAwsCredentialsProviderClass configuration, définissez le com.simba.athena.iamsupport.plugin.AdfsCredentialsProvider pour indiquer que vous souhaitez utiliser l'authentification basée sur SAML 2.0 via ADFS IdP.

   2. Pouridp_host, indiquez le nom d'hôte du serveur ADFS IdP.

   3. Pouridp_port, indiquez le numéro de port sur lequel l'ADFSIdP écoute la SAML demande d'assertion.

   4. Pour UID et PWD, fournissez les informations d'identification de l'utilisateur de domaine AD. Lorsque vous utilisez le pilote sur Windows, si UID et PWD ne sont pas fournis, le pilote tente d'obtenir les informations d'identification de l'utilisateur connecté à la machine Windows.

   5. Vous pouvez également définir ssl_insecure sur true. Dans ce cas, le pilote ne vérifie pas l'authenticité du SSL certificat pour le serveur ADFS IdP. Le réglage sur true est nécessaire si le SSL certificat de l'ADFSIdP n'a pas été configuré pour être approuvé par le pilote.

   6. Pour activer le mappage d'un utilisateur ou d'un groupe de domaine Active Directory vers un ou plusieurs IAM rôles (comme indiqué à l'étape 4 de cette procédure), dans la ODBC connexion preferred_role for the JDBC or, spécifiez le IAM rôle (ARN) à assumer pour la connexion du pilote. La spécification du preferred_role est facultative, et elle est utile si le rôle n'est pas le premier répertorié dans la règle de demande.

   En conséquence de cette procédure, les actions suivantes se produisent :

   1. Le JDBC ODBC chauffeur du laboratoire appelle le AWS STS AssumeRoleWithSAMLAPI, et lui transmet les assertions, comme indiqué à l'étape 4 du schéma d'architecture.

   2. AWS s'assure que la demande pour assumer le rôle provient de l'IdP référencé dans l'entité SAML fournisseur.

   3. Si la demande aboutit, le AWS STS AssumeRoleWithSAMLAPIL'opération renvoie un ensemble d'informations d'identification de sécurité temporaires, que votre application cliente utilise pour envoyer des demandes signées à Athena.

      Votre application dispose maintenant d'informations sur l'utilisateur actuel et peut accéder à Athena par programmation.