Tutoriel : fédération QuickSight d'identités Amazon et IAM

Connectez-vous à votre tableau de bord Okta. Si vous n'en avez pas, créez un compte Okta Developer Edition gratuit à l'aide de cette URL QuickSight personnalisée. Lorsque vous avez activé votre e-mail, connectez-vous à Okta.

Sur le site web d'Okta, choisissez la <> Console du développeur en haut à gauche, puis Interface utilisateur classique.

Choisissez Ajouter des applications, puis Ajouter une application.

Saisissez aws dans le champ Recherche, puis choisissez Fédération de comptes AWS dans les résultats de la recherche.

Choisissez Ajouter pour créer une instance de cette application.

Dans le champ Nom de l'application, saisissez AWS Account Federation - QuickSight.

Choisissez Suivant.

Pour SAML 2.0, État de relais par défaut, saisissez https://quicksight.aws.amazon.com.

Ouvrez le menu contextuel (par un clic droit) pour les métadonnées du fournisseur d'identité et choisissez d'enregistrer le fichier. Nommez le fichier metadata.xml. Vous aurez besoin de ce fichier pour la procédure suivante.

Le contenu du fichier ressemble à ce qui suit.

<md:EntityDescriptor xmlns:md="urn:oasis:names:tc:SAML:2.0:metadata" entityID="http://www.okta.com/exkffz2hATwiVft645d5">
    <md:IDPSSODescriptor WantAuthnRequestsSigned="false" protocolSupportEnumeration="urn:oasis:names:tc:SAML:2.0:protocol">
    <md:KeyDescriptor use="signing">
        <ds:KeyInfo xmlns:ds="http://www.w3.org/2000/09/xmldsig#">
        <ds:X509Data>
            <ds:X509Certificate>
            MIIDpjCCAo6gAwIBAgIGAXVjA82hMA0GCSqGSIb3DQEBCwUAMIGTMQswCQYDVQQGEwJVUzETMBEG 
            . 
            .        (certificate content omitted)
            . 
            QE/6cRdPQ6v/eaFpUL6Asd6q3sBeq+giRG4=
            </ds:X509Certificate>
        </ds:X509Data>
        </ds:KeyInfo>
    </md:KeyDescriptor>
    <md:NameIDFormat>urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress</md:NameIDFormat>
    <md:NameIDFormat>urn:oasis:names:tc:SAML:2.0:nameid-format:unspecified</md:NameIDFormat>
    <md:SingleSignOnService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" Location="https://dev-1054988.okta.com/app/amazon_aws/exkffz2hATwiVft645d5/sso/saml"/>
    <md:SingleSignOnService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect" Location="https://dev-1054988.okta.com/app/amazon_aws/exkffz2hATwiVft645d5/sso/saml"/>
    </md:IDPSSODescriptor>
    </md:EntityDescriptor>

Après avoir enregistré le fichier XML, faites défiler la page Okta vers le bas, puis choisissez OK.

Laissez cette fenêtre de navigateur ouverte, si possible. Vous en aurez besoin ultérieurement dans le didacticiel.

Connectez-vous à la console IAM AWS Management Console et ouvrez-la à https://console.aws.amazon.com/iam/l'adresse.

Dans le volet de navigation, choisissez Fournisseurs d'identité, Créer un fournisseur.

Définissez les paramètres suivants :

Choisissez Étape suivante, Créer.

Localisez l'IdP que vous avez créé et choisissez-le pour consulter les paramètres. Notez l'ARN du fournisseur. Vous en avez besoin pour terminer le didacticiel.

Vérifiez que le fournisseur d'identité est créé avec vos paramètres. Dans IAM, choisissez Fournisseurs d'identité, Okta (l'IdP que vous avez ajouté), Télécharger les métadonnées. Le fichier doit être celui que vous avez récemment chargé.

Connectez-vous à la console IAM AWS Management Console et ouvrez-la à https://console.aws.amazon.com/iam/l'adresse.

Dans le volet de navigation, choisissez Rôles, puis Créer un rôle.

Pour Sélectionner le type d'entité approuvée, choisissez Fédération SAML 2.0.

Pour Fournisseur SAML, sélectionnez l'IdP que vous avez créé lors de la procédure précédente, par exemple Okta.

Activez l'option Autoriser l'accès à la programmation et à AWS la console de gestion.

Choisissez Suivant : Autorisations.

Collez le politique suivante dans l'éditeur.

Dans l'éditeur de politique, mettez à jour le fichier JSON avec l'Amazon Resource Name (ARN) de votre fournisseur.

{
    "Version": "2012-10-17",
    "Statement": [
    {
        "Effect": "Allow",
        "Action": "sts:AssumeRoleWithSAML",
        "Resource": "arn:aws:iam::111111111111:saml-provider/Okta",
        "Condition": {
        "StringEquals": {
            "saml:aud": "https://signin.aws.amazon.com/saml"
        }
        }
    }
    ]
    }

Choisissez Review policy (Examiner une politique).

Pour Name (Nom), saisissez QuicksightOktaFederatedPolicy, puis choisissez Create policy (Créer une stratégie).

Choisissez une deuxième fois Créer une politique, JSON.

Collez le politique suivante dans l'éditeur.

Dans l'éditeur de règles, mettez à jour le JSON avec votre Compte AWS identifiant. Il doit s'agir du même ID de compte que celui que vous avez utilisé dans la politique précédente dans l'ARN du fournisseur.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "quicksight:CreateReader"
            ],
            "Effect": "Allow",
            "Resource": [
                "arn:aws:quicksight::111111111111:user/${aws:userid}"
            ]
        }
    ]
    }

Vous pouvez omettre le Région AWS nom dans l'ARN, comme indiqué ci-dessous.

arn:aws:quicksight::111111111111:user/$${aws:userid}

Choisissez Review policy (Examiner une politique).

Pour Name (Nom), saisissez QuicksightCreateReader, puis choisissez Create policy (Créer une stratégie).

Actualisez la liste des politiques en cliquant sur l'icône d'actualisation à droite.

Dans le champ Recherche, saisissez QuicksightOktaFederatedPolicy. Choisissez la politique pour l'activer ( ).

Si vous ne voulez pas utiliser le provisionnement automatique, vous pouvez ignorer l'étape suivante.

Pour ajouter un QuickSight utilisateur, utilisez register-user. Pour ajouter un QuickSight groupe, utilisez create-group. Pour ajouter des utilisateurs au QuickSight groupe, utilisez create-group-membership.

(Facultatif) Dans le champ Recherche, saisissez QuicksightCreateReader. Choisissez la politique pour l'activer ( ).

Effectuez cette étape si vous souhaitez approvisionner QuickSight les utilisateurs automatiquement, plutôt que d'utiliser l' QuickSight API.

La politique QuicksightCreateReader active le provisionnement automatique en autorisant l'utilisation de l'action quicksight:CreateReader. Cette action permet d'accorder aux nouveaux utilisateurs un accès au tableau de bord en tant qu'abonné (niveau lecteur). Un QuickSight administrateur peut ensuite les mettre à niveau depuis le menu du QuickSight profil, Gérer QuickSight, Gérer les utilisateurs.

Pour continuer à attacher la ou les politiques IAM, choisissez Suivant : Balises.

Choisissez Suivant : Vérification.

Pour Nom du rôle, saisissez QuicksightOktaFederatedRole, puis choisissez Créer un rôle.

Vérifiez que vous avez effectué cette opération avec succès en suivant les étapes ci-dessous :

1. Retournez à la page principale de la console IAM à https://console.aws.amazon.com/iam/l'adresse. Vous pouvez utiliser le bouton Retour de votre navigateur.

2. Sélectionnez Roles (Rôles).

3. Dans le champ Recherche, saisissez Okta. Choisissez QuicksightOktaFederatedRoleparmi les résultats de recherche.

4. Sur la page Résumé de la politique, examinez l'onglet Autorisations. Vérifiez que le rôle possède la ou les politiques que vous lui avez associées. Il devrait avoir QuicksightOktaFederatedPolicy. Si vous avez choisi d'ajouter la possibilité de créer des utilisateurs, il devrait également avoir QuicksightCreateReader.

5. Utilisez l'icône  pour ouvrir chaque politique. Vérifiez que le texte correspond à ce qui est indiqué dans cette procédure. Vérifiez que vous avez ajouté votre propre Compte AWS numéro à la place du numéro de compte d'exemple 111111111111.

6. Dans l'onglet Relations d'approbation, vérifiez que le champ Entités approuvée contient l'ARN du fournisseur d'identité. Vous pouvez vérifier à nouveau l'ARN dans la console IAM en ouvrant Fournisseurs d'identité, Okta.

Connectez-vous à la console IAM AWS Management Console et ouvrez-la à https://console.aws.amazon.com/iam/l'adresse.

Ajoutez une politique qui permet à Okta d'afficher une liste de rôles IAM à l'utilisateur. Pour ce faire, choisissez Politique, Créer une nouvelle politique.

Choisissez JSON puis saisissez la politique suivante.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iam:ListRoles",
                "iam:ListAccountAliases"
            ],
            "Resource": "*"
        }
    ]
    }

Choisissez Examiner une politique.

Pour Nom, saisissez OktaListRolesPolicy. Sélectionnez ensuite Créer une politique.

Ajoutez un utilisateur afin de fournir à Okta une clé d'accès.

Dans le volet de navigation, choisissez Utilisateurs, Ajouter un utilisateur.

Utilisez les paramètres suivants :

Choisissez Suivant : Autorisations.

Choisissez Attach existing policies directly (Attacher directement les politiques existantes).

Dans le champ RechercherOktaListRolesPolicy, entrez et choisissez OktaListRolesPolicyparmi les résultats de recherche.

Sélectionnez Suivant : Balises, puis Suivant : Vérification).

Choisissez Create user (Créer un utilisateur). Vous pouvez maintenant obtenir la clé d'accès.

Téléchargez le fichier clé en choisissant Télécharger .csv. Le fichier contient le même ID de clé d'accès et la même clé d'accès secrète que ceux affichés sur cet écran. Toutefois, comme cette information AWS n'est pas affichée une seconde fois, assurez-vous de télécharger le fichier.

Vérifiez que vous avez correctement effectué cette étape en procédant comme suit :

1. Ouvrez la console IAM et choisissez Utilisateurs. Recherchez OktaSSOUser, puis ouvrez-le en choisissant le nom d'utilisateur dans les résultats de recherche.

2. Dans l'onglet Autorisations, vérifiez que le OktaListRolesPolicyest joint.

3. Utilisez l'icône  pour ouvrir la politique. Vérifiez que le texte correspond à ce qui est indiqué dans cette procédure.

4. Dans l'onglet Informations d'identification de sécurité, vous pouvez vérifier la clé d'accès, même si vous l'avez déjà téléchargée. Vous pouvez revenir à cet onglet pour créer une clé d'accès lorsque vous en avez besoin d'une nouvelle.

Retournez à votre tableau de bord Okta. Si vous y êtes invité, connectez-vous. Si la console du développeur n'est plus ouverte, choisissez Admin pour la rouvrir.

Si vous devez rouvrir Okta, vous pouvez revenir à cette section en suivant les étapes ci-dessous :

1. Connectez-vous à Okta. Choisissez Applications.

2. Choisissez AWS Account Federation QuickSight : l'application que vous avez créée au début de ce didacticiel.

3. Choisissez l'onglet Authentification, entre Général et Mobile.

Faites défiler l'écran jusqu'à Paramètres d'authentification avancés.

Dans le champ ARN du fournisseur d'identité (obligatoire uniquement pour la fédération IAM SAML), saisissez l'ARN du fournisseur indiqué dans la procédure précédente, par exemple :

arn:aws:iam::111122223333:saml-provider/Okta

Choisissez Terminer ou Enregistrer. Le nom du bouton varie selon que vous créez ou modifiez l'application.

Choisissez l'onglet Provisionnement et, dans la partie inférieure de cet onglet, choisissez Configurer l'intégration API.

Activez l'option Activer l'intégration API pour afficher les paramètres.

Pour la clé d'accès et la clé secrète, indiquez la clé d'accès et la clé secrète que vous avez précédemment téléchargées dans un fichier nommé OktaSSOUser_credentials.csv.

Choisissez Test des informations d'identification API. Au-dessus du paramètre Activer l'intégration API, vous trouverez un message confirmant que la Fédération de comptes AWS a été vérifiée avec succès.

Choisissez Save (Enregistrer).

Assurez-vous que Vers l'application est en surbrillance à gauche, puis choisissez Modifier à droite.

Pour Créer des utilisateurs, activez l'option Activer.

Choisissez Save (Enregistrer).

Dans l'onglet Attributions, près de Provisionnement et Importation, choisissez Attribuer.

Effectuez une ou plusieurs des opérations suivantes pour activer l'accès fédéré :

Pour chaque utilisateur ou groupe IAM, procédez de la façon suivante :

1. Choisissez Attribuer, Rôle.

2. Sélectionnez un QuicksightOktaFederatedRolerôle dans la liste des rôles IAM.

3. Pour les rôles utilisateur SAML, activez QuicksightOktaFederatedRole.

Choisissez Enregistrer et revenir en arrière, puis cliquez sur OK.

Vérifiez que vous avez effectué cette étape correctement en choisissant le filtre Personnes ou Groupes à gauche et en vérifiant les utilisateurs ou les groupes que vous avez saisis. Si vous ne parvenez pas à terminer ce processus parce que le rôle que vous avez créé ne figure pas dans la liste, revenez aux procédures précédentes pour vérifier les paramètres.

Si vous utilisez un compte administrateur Okta, passez en mode utilisateur.

Connectez-vous à votre tableau de bord Okta Applications avec un utilisateur auquel un accès fédéré a été accordé. Vous devriez voir une nouvelle application avec votre étiquette, par exemple AWS Account Federation - QuickSight.

Cliquez sur l'icône de l'application pour lancer AWS Account Federation - QuickSight.

Ouvrez QuickSight et choisissez Gérer dans le menu QuickSight de votre profil.

Choisissez Authentification unique (fédération IAM) dans le volet de navigation.

Dans Configuration, URL de l'IdP, entrez l'URL fournie par votre IdP pour authentifier les utilisateurs, par exemple https://dev - .okta. 1-----0 com/home/amazon_frais/. 0oabababababaGQei5d5/282 Vous pouvez le trouver sur la page de votre application Okta, sous l'onglet Général, dans Lien d'intégration.

Dans le champ URL IdP, saisissez RelayState.

Effectuez l’une des actions suivantes :

Pour État, sélectionnez Activé.

Choisissez Enregistrer pour conserver vos paramètres.

Localisez l'URL d'authentification unique (fédération IAM) de l'application Okta dans le fichier metadata.xml que vous avez téléchargé au début du didacticiel. Vous pouvez trouver l'URL au bas du fichier, dans l'élément nommé md:SingleSignOnService. L'attribut est nommé Location et la valeur se termine par /sso/saml, comme illustré dans l'exemple suivant.

<md:SingleSignOnService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect" Location="https://dev-0000001.okta.com/app/amazon_aws/abcdef2hATwiVft645d5/sso/saml"/>

Prenez la valeur de l'URL de fédération IAM et ajoutez-la, ?RelayState= suivie de l'URL de votre QuickSight tableau de bord. Le paramètre RelayState transmet l'état (l'URL) dans lequel se trouvait l'utilisateur lorsqu'il a été redirigé vers l'URL d'authentification.

Ajoutez l'URL de votre QuickSight tableau de bord à la nouvelle fédération IAM à laquelle l'état du relais a été ajouté. L'URL obtenue doit ressembler à ce qui suit.

https://dev-1-----0.okta.com/app/amazon_aws/abcdef2hATwiVft645d5/sso/saml?RelayState=https://us-west-2.quicksight.aws.amazon.com/sn/analyses/12a12a2a-121a-212a-121a-abcd12abc1ab

Si le lien que vous créez ne s'ouvre pas, vérifiez que vous utilisez l'URL de fédération IAM la plus récente du metadata.xml. Vérifiez également que le nom d'utilisateur que vous utilisez pour vous connecter n'est pas attribué dans plus d'une application Okta de la fédération IAM.