Configurez SageMaker Canvas pour vos utilisateurs

Configurez la méthode d'authentification pour Okta.

1. Connectez-vous au tableau de bord d'administration d'Okta.

2. Choisissez Add application (Ajouter une application). Recherchez AWS Account Federation.

3. Choisissez Ajouter.

4. Facultatif : remplacez le nom par Amazon SageMaker Canvas.

5. Choisissez Suivant.

6. Choisissez SAML2.0 comme méthode de connexion.

7. Choisissez Identity Provider Metadata pour ouvrir le XML fichier de métadonnées. Enregistrez le fichier au niveau local.

8. Sélectionnez Exécuté.

1. Connectez-vous à la AWS console.

2. Choisissez AWS Identity and Access Management (IAM).

3. Choisissez Identity Providers (Fournisseurs d'identité).

4. Choisissez Create provider (Créer un fournisseur).

5. Pour Configure Provider (Configurer le fournisseur), spécifiez les paramètres suivants :

   • Type de fournisseur : dans la liste déroulante, sélectionnez SAML.

   • Provider Name (Nom du fournisseur) – Spécifiez Okta.

   • Document de métadonnées : téléchargez le XML document que vous avez enregistré localement à l'étape 7 deAjoutez l'application SageMaker Canvas à Okta.

6. Trouvez votre fournisseur d'identité sous Identity Providers (Fournisseurs d'identité). Copiez sa ARN valeur de fournisseur.

7. Pour Rôles, choisissez le IAM rôle que vous utilisez pour SSO accéder à Okta.

8. Sous Relation de confiance pour le IAM rôle, choisissez Modifier la relation de confiance.

9. Modifiez la politique de relation de IAM confiance en spécifiant la ARN valeur du fournisseur que vous avez copiée et ajoutez la politique suivante :

   
   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Federated": "arn:aws:iam::123456789012:saml-provider/Okta"
         },
         "Action": [
           "sts:AssumeRoleWithSAML",
           "sts:SetSourceIdentity",
           "sts:TagSession"
         ],
         "Condition": {
           "StringEquals": {
             "SAML:aud": "https://signin.aws.amazon.com/saml"
           }
         }
       }
     ]
   } 
     

10. Pour Permissions (Autorisation), ajoutez la politique suivante :

    
    {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "AmazonSageMakerPresignedUrlPolicy",
               "Effect": "Allow",
               "Action": [
                    "sagemaker:CreatePresignedDomainUrl",
                    "sagemaker:CreatePresignedDomainUrlWithPrincipalTag"
               ],
               "Resource": "*"
          }
      ]
    }
      

Pour configurer Amazon SageMaker Canvas afin d'utiliser Okta, suivez les étapes décrites dans cette section. Vous devez spécifier des noms d'utilisateur uniques pour chaque SageMakerStudioProfileNamechamp. Par exemple, vous pouvez utiliser user.login en tant que valeur. Si le nom d'utilisateur est différent du nom du profil SageMaker Canvas, choisissez un autre attribut d'identification unique. Par exemple, vous pouvez utiliser l'ID d'un employé comme nom de profil.

Pour obtenir un exemple de valeurs que vous pouvez définir pour Attributes (Attributs), veuillez consulter le code suivant la procédure.

1. Sous Directory (Répertoire), choisissez Groups (Groupes).

2. Ajoutez un groupe avec le modèle suivant : sagemaker#canvas#IAM-role#AWS-account-id.

3. Dans Okta, ouvrez la configuration d'intégration d'application AWS Account Federation.

4. Sélectionnez Se connecter pour l'application AWS Account Federation.

5. Choisissez Edit (Modifier) et spécifiez les paramètres suivants :

   • SAML2,0

   • État du relais par défaut — https ://Region.console.aws.amazon.com/sagemaker/home ? region=Region#/studio/toile/ouvert/StudioId. Vous pouvez trouver l'identifiant Studio Classic dans la console : https://console.aws.amazon.com/sagemaker/

6. Choisissez Attributes (Attributs).

7. Dans les SageMakerStudioProfileNamechamps, spécifiez des valeurs uniques pour chaque nom d'utilisateur. Les noms d'utilisateur doivent correspondre aux noms d'utilisateur que vous avez créés dans la console AWS .

   
   Attribute 1:
   Name: https://aws.amazon.com/SAML/Attributes/PrincipalTag:SageMakerStudioUserProfileName 
   Value: ${user.login}
   
   Attribute 2:
   Name: https://aws.amazon.com/SAML/Attributes/TransitiveTagKeys
   Value: {"SageMakerStudioUserProfileName"}
      

8. Sélectionnez Environment Type (Type d'environnement). Choisissez Regular AWS ( AWS classique).

   • Si votre type d'environnement n'est pas répertorié, vous pouvez le définir ACS URL dans le ACSURLchamp. Si votre type d'environnement est répertorié, vous n'avez pas besoin de saisir votre ACS URL

9. Pour le fournisseur d'identité ARN, spécifiez celui ARN que vous avez utilisé à l'étape 6 de la procédure précédente.

10. Spécifiez une Session Duration (Durée de la session).

11. Choisissez Join all roles (Joindre tous les rôles).

12. Activez Use Group Mapping (Utiliser le mappage de groupe) en spécifiant les champs suivants :

    • App Filter (Filtre d'application) – okta

    • Group Filter (Filtre de groupe) – ^aws\#\S+\#(?IAM-role[\w\-]+)\#(?accountid\d+)$

    • Role Value Pattern (Modèle de valeur de rôle) – arn:aws:iam::$accountid:saml-provider/Okta,arn:aws:iam::$accountid:role/IAM-role

13. Choisissez Save/Next (Enregistrer/Suivant).

14. Sous Assignments (Affectations), attribuez l'application au groupe que vous avez créé.