Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Création automatique de rôles Amazon Redshift pour AWS IAM Identity Center

Cette fonctionnalité est une intégration AWS IAM Identity Center qui vous permet de créer automatiquement des rôles dans Redshift en fonction de l'appartenance à un groupe.

La création automatique de rôles présente plusieurs avantages. Lorsque vous créez automatiquement un rôle, Redshift le crée avec l'appartenance à un groupe dans votre IdP, ce qui vous permet d'éviter la création et la maintenance manuelles fastidieuses des rôles. Vous avez également la possibilité de filtrer les groupes mappés aux rôles Redshift avec des modèles d'inclusion et d'exclusion.

Comment ça marche

Lorsque vous, en tant qu'utilisateur IdP, vous connectez à Redshift, la séquence d'événements suivante se produit :

À chaque connexion utilisateur, chaque groupe qui n'est pas présent dans le catalogue mais dont l'utilisateur fait partie est créé automatiquement. Vous pouvez éventuellement définir des filtres d'inclusion et d'exclusion pour contrôler les groupes IdP pour lesquels des rôles Redshift ont été créés.

Configuration des rôles de création automatique

Utilisez les ALTER IDENTITY PROVIDER commandes CREATE IDENTITY PROVIDER et pour activer et configurer la création automatique de rôles.

-- Create a new IdP with auto role creation enabled
CREATE IDENTITY PROVIDER <idp_name> TYPE AWSIDC
  NAMESPACE '<namespace>' 
  APPLICATION_ARN 'app_arn'
  IAM_ROLE 'role_arn'
  AUTO_CREATE_ROLES TRUE; 

-- Enable on existing IdP 
ALTER IDENTITY PROVIDER <idp_name>
  AUTO_CREATE_ROLES TRUE;

-- Disable  
ALTER IDENTITY PROVIDER <idp_name>
  AUTO_CREATE_ROLES FALSE;

Groupes de filtrage

Vous pouvez éventuellement filtrer les groupes IdP mappés aux rôles Redshift à l'aide de modèles et de modèles. INCLUDE EXCLUDE En cas de conflit entre les modèles, EXCLUDE prend le pas sur. INCLUDE

-- Only create roles for groups with 'dev' 
CREATE IDENTITY PROVIDER <idp_name> TYPE AWSIDC
  ...
  AUTO_CREATE_ROLES TRUE
  INCLUDE GROUPS LIKE '%dev%';
    
-- Exclude 'test' groups
ALTER IDENTITY PROVIDER <idp_name>  
  AUTO_CREATE_ROLES TRUE
  EXCLUDE GROUPS LIKE '%test%';

Exemples

L'exemple suivant montre comment activer la création automatique de rôles sans filtrage.

CREATE IDENTITY PROVIDER prod_idc TYPE AWSIDC  ...
  AUTO_CREATE_ROLES TRUE;

L'exemple suivant inclut les groupes de développement et exclut les groupes de test.

ALTER IDENTITY PROVIDER prod_idc
  AUTO_CREATE_ROLES TRUE
  INCLUDE GROUPS LIKE '%dev%'
  EXCLUDE GROUPS LIKE '%test%';

Bonnes pratiques

Tenez compte des meilleures pratiques suivantes lorsque vous activez la création automatique pour les rôles :