Tutoriel : Amazon QuickSight et la fédération des IAM identités

Connectez-vous à votre tableau de bord Okta. Si vous n'en avez pas, créez un compte Okta Developer Edition gratuit en utilisant cette marque QuickSight. URL Lorsque vous avez activé votre e-mail, connectez-vous à Okta.

Sur le site web d'Okta, choisissez la <> Console du développeur en haut à gauche, puis Interface utilisateur classique.

Choisissez Ajouter des applications, puis Ajouter une application.

Entrez dans aws le champ Rechercher, puis choisissez AWS Fédération de comptes à partir des résultats de recherche.

Choisissez Ajouter pour créer une instance de cette application.

Dans le champ Nom de l'application, saisissez AWS Account Federation - QuickSight.

Choisissez Suivant.

Pour SAML2.0, État du relais par défaut, entrezhttps://quicksight.aws.amazon.com.

Ouvrez le menu contextuel (par un clic droit) pour les métadonnées du fournisseur d'identité et choisissez d'enregistrer le fichier. Nommez le fichier metadata.xml. Vous aurez besoin de ce fichier pour la procédure suivante.

Le contenu du fichier ressemble à ce qui suit.

<md:EntityDescriptor xmlns:md="urn:oasis:names:tc:SAML:2.0:metadata" entityID="http://www.okta.com/exkffz2hATwiVft645d5">
    <md:IDPSSODescriptor WantAuthnRequestsSigned="false" protocolSupportEnumeration="urn:oasis:names:tc:SAML:2.0:protocol">
    <md:KeyDescriptor use="signing">
        <ds:KeyInfo xmlns:ds="http://www.w3.org/2000/09/xmldsig#">
        <ds:X509Data>
            <ds:X509Certificate>
            MIIDpjCCAo6gAwIBAgIGAXVjA82hMA0GCSqGSIb3DQEBCwUAMIGTMQswCQYDVQQGEwJVUzETMBEG 
            . 
            .        (certificate content omitted)
            . 
            QE/6cRdPQ6v/eaFpUL6Asd6q3sBeq+giRG4=
            </ds:X509Certificate>
        </ds:X509Data>
        </ds:KeyInfo>
    </md:KeyDescriptor>
    <md:NameIDFormat>urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress</md:NameIDFormat>
    <md:NameIDFormat>urn:oasis:names:tc:SAML:2.0:nameid-format:unspecified</md:NameIDFormat>
    <md:SingleSignOnService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" Location="https://dev-1054988.okta.com/app/amazon_aws/exkffz2hATwiVft645d5/sso/saml"/>
    <md:SingleSignOnService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect" Location="https://dev-1054988.okta.com/app/amazon_aws/exkffz2hATwiVft645d5/sso/saml"/>
    </md:IDPSSODescriptor>
    </md:EntityDescriptor>

Une fois le XML fichier enregistré, faites défiler la page Okta vers le bas et choisissez OK.

Laissez cette fenêtre de navigateur ouverte, si possible. Vous en aurez besoin ultérieurement dans le didacticiel.

Connectez-vous au AWS Management Console et ouvrez la IAM console à l'adresse https://console.aws.amazon.com/iam/.

Dans le volet de navigation, choisissez Fournisseurs d'identité, Créer un fournisseur.

Définissez les paramètres suivants :

Choisissez Étape suivante, Créer.

Localisez l'IdP que vous avez créé et choisissez-le pour consulter les paramètres. Notez le fournisseur ARN. Vous en avez besoin pour terminer le didacticiel.

Vérifiez que le fournisseur d'identité est créé avec vos paramètres. DansIAM, choisissez Fournisseurs d'identité, Okta (l'IdP que vous avez ajouté), Télécharger les métadonnées. Le fichier doit être celui que vous avez récemment chargé.

Connectez-vous au AWS Management Console et ouvrez la IAM console à l'adresse https://console.aws.amazon.com/iam/.

Dans le volet de navigation, choisissez Rôles, puis Créer un rôle.

Pour Sélectionner le type d'entité de confiance, choisissez la carte intitulée Fédération SAML 2.0.

Pour le SAMLfournisseur, sélectionnez l'IdP que vous avez créé lors de la procédure précédente, par exemple. Okta

Activez l'option Autoriser la programmation et AWS Accès à la console de gestion.

Sélectionnez Next: Permissions (Étape suivante : autorisations).

Collez le politique suivante dans l'éditeur.

Dans l'éditeur de politiques, mettez-le à jour JSON avec le nom de ressource Amazon de votre fournisseur (ARN).

{
    "Version": "2012-10-17",
    "Statement": [
    {
        "Effect": "Allow",
        "Action": "sts:AssumeRoleWithSAML",
        "Resource": "arn:aws:iam::111111111111:saml-provider/Okta",
        "Condition": {
        "StringEquals": {
            "saml:aud": "https://signin.aws.amazon.com/saml"
        }
        }
    }
    ]
    }

Choisissez Review policy (Examiner une politique).

Pour Name (Nom), saisissez QuicksightOktaFederatedPolicy, puis choisissez Create policy (Créer une stratégie).

Choisissez Créer une politique, JSONune deuxième fois.

Collez le politique suivante dans l'éditeur.

Dans l'éditeur de règles, mettez à jour le JSON avec votre Compte AWS IDENTIFIANT. Il doit s'agir du même identifiant de compte que celui que vous avez utilisé dans la politique précédente du fournisseurARN.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "quicksight:CreateReader"
            ],
            "Effect": "Allow",
            "Resource": [
                "arn:aws:quicksight::111111111111:user/${aws:userid}"
            ]
        }
    ]
    }

Vous pouvez omettre le Région AWS nom dans leARN, comme indiqué ci-dessous.

arn:aws:quicksight::111111111111:user/$${aws:userid}

Choisissez Review policy (Examiner une politique).

Pour Name (Nom), saisissez QuicksightCreateReader, puis choisissez Create policy (Créer une stratégie).

Actualisez la liste des politiques en cliquant sur l'icône d'actualisation à droite.

Dans le champ Recherche, saisissez QuicksightOktaFederatedPolicy. Choisissez la politique pour l'activer ( ).

Si vous ne voulez pas utiliser le provisionnement automatique, vous pouvez ignorer l'étape suivante.

Pour ajouter un QuickSight utilisateur, utilisez register-user. Pour ajouter un QuickSight groupe, utilisez create-group. Pour ajouter des utilisateurs au QuickSight groupe, utilisez create-group-membership.

(Facultatif) Dans le champ Recherche, saisissez QuicksightCreateReader. Choisissez la politique pour l'activer ( ).

Effectuez cette étape si vous souhaitez configurer les QuickSight utilisateurs automatiquement, plutôt que d'utiliser le QuickSight API.

La politique QuicksightCreateReader active le provisionnement automatique en autorisant l'utilisation de l'action quicksight:CreateReader. Cette action permet d'accorder aux nouveaux utilisateurs un accès au tableau de bord en tant qu'abonné (niveau lecteur). Un QuickSight administrateur peut ensuite les mettre à niveau depuis le menu du QuickSight profil, Gérer QuickSight, Gérer les utilisateurs.

Pour continuer à joindre la IAM ou les politiques, choisissez Next : Tags.

Choisissez Suivant : vérification.

Pour Nom du rôle, saisissez QuicksightOktaFederatedRole, puis choisissez Créer un rôle.

Vérifiez que vous avez effectué cette opération avec succès en suivant les étapes ci-dessous :

1. Retournez à la page principale de la IAM console à l'adresse https://console.aws.amazon.com/iam/. Vous pouvez utiliser le bouton Retour de votre navigateur.

2. Sélectionnez Roles (Rôles).

3. Dans le champ Recherche, saisissez Okta. Choisissez QuicksightOktaFederatedRoleparmi les résultats de recherche.

4. Sur la page Résumé de la politique, examinez l'onglet Autorisations. Vérifiez que le rôle possède la ou les politiques que vous lui avez associées. Il devrait avoir QuicksightOktaFederatedPolicy. Si vous avez choisi d'ajouter la possibilité de créer des utilisateurs, il devrait également avoir QuicksightCreateReader.

5. Utilisez l'icône  pour ouvrir chaque politique. Vérifiez que le texte correspond à ce qui est indiqué dans cette procédure. Vérifiez que vous avez ajouté le vôtre Compte AWS numéro à la place du numéro de compte d'exemple 111111111111.

6. Dans l'onglet Relations de confiance, vérifiez que le champ Entités fiables contient le ARN nom du fournisseur d'identité. Vous pouvez le vérifier ARN dans la IAM console en ouvrant Okta, fournisseurs d'identité.

Connectez-vous au AWS Management Console et ouvrez la IAM console à l'adresse https://console.aws.amazon.com/iam/.

Ajoutez une politique qui permet à Okta d'afficher une liste de IAM rôles à l'utilisateur. Pour ce faire, choisissez Politique, Créer une nouvelle politique.

Choisissez JSON, puis entrez la politique suivante.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iam:ListRoles",
                "iam:ListAccountAliases"
            ],
            "Resource": "*"
        }
    ]
    }

Choisissez Examiner une politique.

Pour Name (Nom), saisissez OktaListRolesPolicy. Sélectionnez ensuite Créer une politique.

Ajoutez un utilisateur afin de fournir à Okta une clé d'accès.

Dans le volet de navigation, choisissez Utilisateurs, Ajouter un utilisateur.

Utilisez les paramètres suivants :

Sélectionnez Next: Permissions (Étape suivante : autorisations).

Choisissez Attach existing policies directly (Attacher directement les politiques existantes).

Pour RechercherOktaListRolesPolicy, entrez et choisissez OktaListRolesPolicyparmi les résultats de recherche.

Sélectionnez Suivant : Balises, puis Suivant : Vérification).

Choisissez Create user (Créer un utilisateur). Vous pouvez maintenant obtenir la clé d'accès.

Téléchargez le fichier clé en choisissant Télécharger .csv. Le fichier contient le même ID de clé d'accès et la même clé d'accès secrète que ceux affichés sur cet écran. Cependant, parce que AWS n'affiche pas ces informations une seconde fois, assurez-vous de télécharger le fichier.

Vérifiez que vous avez correctement effectué cette étape en procédant comme suit :

1. Ouvrez la IAM console, puis sélectionnez Utilisateurs. Recherchez O ktaSSOUser, puis ouvrez-le en choisissant le nom d'utilisateur dans les résultats de recherche.

2. Dans l'onglet Autorisations, vérifiez que le OktaListRolesPolicyest joint.

3. Utilisez l'icône  pour ouvrir la politique. Vérifiez que le texte correspond à ce qui est indiqué dans cette procédure.

4. Dans l'onglet Informations d'identification de sécurité, vous pouvez vérifier la clé d'accès, même si vous l'avez déjà téléchargée. Vous pouvez revenir à cet onglet pour créer une clé d'accès lorsque vous en avez besoin d'une nouvelle.

Retournez à votre tableau de bord Okta. Si vous y êtes invité, connectez-vous. Si la console du développeur n'est plus ouverte, choisissez Admin pour la rouvrir.

Si vous devez rouvrir Okta, vous pouvez revenir à cette section en suivant les étapes ci-dessous :

1. Connectez-vous à Okta. Choisissez Applications.

2. Choisissez AWS Account Federation QuickSight  : application que vous avez créée au début de ce didacticiel.

3. Choisissez l'onglet Authentification, entre Général et Mobile.

Faites défiler l'écran jusqu'à Paramètres d'authentification avancés.

Pour le fournisseur d'identité ARN (obligatoire uniquement pour la SAML IAM fédération), entrez le fournisseur ARN de la procédure précédente, par exemple :

arn:aws:iam::111122223333:saml-provider/Okta

Choisissez Terminer ou Enregistrer. Le nom du bouton varie selon que vous créez ou modifiez l'application.

Choisissez l'onglet Provisioning, puis dans la partie inférieure de l'onglet, sélectionnez Configurer API l'intégration.

Activez Activer API l'intégration pour afficher les paramètres.

Pour la clé d'accès et la clé secrète, indiquez la clé d'accès et la clé secrète que vous avez précédemment téléchargées dans un fichier nommé OktaSSOUser_credentials.csv.

Choisissez Test API Credentials. Regardez au-dessus du paramètre Activer API l'intégration pour voir un message confirmant que AWS La fédération des comptes a été vérifiée avec succès.

Choisissez Save (Enregistrer).

Assurez-vous que Vers l'application est en surbrillance à gauche, puis choisissez Modifier à droite.

Pour Créer des utilisateurs, activez l'option Activer.

Choisissez Save (Enregistrer).

Dans l'onglet Attributions, près de Provisionnement et Importation, choisissez Attribuer.

Effectuez une ou plusieurs des opérations suivantes pour activer l'accès fédéré :

Pour chaque IAM utilisateur ou groupe, procédez comme suit :

1. Choisissez Attribuer, Rôle.

2. Sélectionnez un QuicksightOktaFederatedRolerôle dans la liste des IAM rôles.

3. Pour les rôles SAML d'utilisateur, activez QuicksightOktaFederatedRole.

Choisissez Enregistrer et revenir en arrière, puis cliquez sur OK.

Vérifiez que vous avez effectué cette étape correctement en choisissant le filtre Personnes ou Groupes à gauche et en vérifiant les utilisateurs ou les groupes que vous avez saisis. Si vous ne parvenez pas à terminer ce processus parce que le rôle que vous avez créé ne figure pas dans la liste, revenez aux procédures précédentes pour vérifier les paramètres.

Si vous utilisez un compte administrateur Okta, passez en mode utilisateur.

Connectez-vous à votre tableau de bord Okta Applications avec un utilisateur auquel un accès fédéré a été accordé. Vous devriez voir une nouvelle application avec votre étiquette, par exemple AWS Fédération de comptes - QuickSight.

Choisissez l'icône de l'application pour lancer AWS Fédération de comptes - QuickSight.

Ouvrez QuickSight et choisissez Gérer dans le menu QuickSight de votre profil.

Choisissez Single Sign-on (IAMfédération) dans le volet de navigation.

Dans Configuration, IdP URL, entrez le URL code fourni par votre IdP pour authentifier les utilisateurs, par exemple https://dev -1-----0.okta.com/home/amazon_aws/0oabababababaGQei5d5/282. Vous pouvez le trouver sur la page de votre application Okta, dans l'onglet Général, dans Intégrer le lien.

Pour IdPURL, entrez. RelayState

Effectuez l’une des actions suivantes :

Pour État, sélectionnez Activé.

Choisissez Enregistrer pour conserver vos paramètres.

Localisez l'authentification unique (IAMfédération) de l'application Okta URL dans le metadata.xml fichier que vous avez téléchargé au début du didacticiel. Vous pouvez le URL trouver en bas du fichier, dans l'élément nommémd:SingleSignOnService. L'attribut est nommé Location et la valeur se termine par /sso/saml, comme illustré dans l'exemple suivant.

<md:SingleSignOnService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect" Location="https://dev-0000001.okta.com/app/amazon_aws/abcdef2hATwiVft645d5/sso/saml"/>

Prenez la valeur de la IAM fédération URL et ajoutez-la, ?RelayState= puis celle de votre QuickSight tableau URL de bord. Le RelayState paramètre indique l'état (l'URL) dans lequel se trouvait l'utilisateur lorsqu'il a été redirigé vers l'authentificationURL.

À la nouvelle IAM fédération avec l'état du relais ajouté, ajoutez le de votre QuickSight tableau URL de bord. Le résultat URL devrait ressembler à ce qui suit.

https://dev-1-----0.okta.com/app/amazon_aws/abcdef2hATwiVft645d5/sso/saml?RelayState=https://us-west-2.quicksight.aws.amazon.com/sn/analyses/12a12a2a-121a-212a-121a-abcd12abc1ab

Si le lien que vous créez ne s'ouvre pas, vérifiez que vous utilisez la IAM fédération la plus récente URL dumetadata.xml. Vérifiez également que le nom d'utilisateur que vous utilisez pour vous connecter n'est pas attribué dans plusieurs applications Okta de IAM fédération.