Buat peran untuk federasi SAML 2.0 (konsol)

Sebelum Anda membuat peran untuk federasi SAML berbasis, Anda harus membuat SAML penyedia diIAM. Untuk informasi selengkapnya, lihat Buat penyedia SAML identitas di IAM.

Siapkan kebijakan untuk peran yang akan diasumsikan oleh pengguna yang SAML diautentikasi 2.0. Seperti halnya peran apa pun, peran SAML federasi mencakup dua kebijakan. Salah satunya adalah kebijakan kepercayaan peran yang dapat mengasumsikan peran. Yang lainnya adalah kebijakan IAM izin yang menentukan AWS tindakan dan sumber daya yang diizinkan atau ditolak aksesnya oleh pengguna federasi.

Ketika Anda membuat kebijakan kepercayaan untuk peran Anda, Anda harus menggunakan tiga nilai untuk memastikan bahwa hanya aplikasi Anda yang dapat mengambil peran:

Contoh kebijakan kepercayaan berikut dirancang untuk pengguna SAML federasi:

{
    "Version": "2012-10-17",
    "Statement": {
      "Effect": "Allow",
      "Action": "sts:AssumeRoleWithSAML",
      "Principal": {"Federated": "arn:aws:iam::account-id:saml-provider/PROVIDER-NAME"},
      "Condition": {"StringEquals": {"SAML:aud": "https://signin.aws.amazon.com/saml"}}
    }
  }

Ganti prinsipal ARN dengan yang sebenarnya ARN untuk SAML penyedia yang Anda buatIAM. Itu akan memiliki ID akun dan nama penyedia Anda sendiri.

Masuk ke AWS Management Console dan buka IAM konsol di https://console.aws.amazon.com/iam/.

Di panel navigasi IAM konsol, pilih Peran, lalu pilih Buat peran.

Pilih jenis peran federasi SAML 2.0.

Untuk Pilih SAML penyedia, pilih penyedia untuk peran Anda.

Pilih metode tingkat akses SAML 2.0.

Peran yang dibuat oleh keduanya serupa, tetapi peran yang juga dapat diasumsikan dari konsol mencakup suatu kebijakan kepercayaan dengan syarat tertentu. Kondisi itu secara eksplisit memastikan bahwa SAML audiens (SAML:audatribut) disetel ke titik akhir AWS masuk untuk SAML (https://signin.aws.amazon.com/saml).

Jika Anda membuat peran untuk akses terprogram, pilih atribut dari daftar Atribut. Kemudian, di kotak Nilai, masukkan nilai untuk disertakan dalam peran. Ini membatasi akses peran ke pengguna dari penyedia identitas yang respons SAML autentikasi (pernyataan) menyertakan atribut yang Anda tentukan. Anda harus menentukan setidaknya satu atribut untuk memastikan bahwa peran Anda terbatas pada subset pengguna dalam organisasi Anda.

Jika Anda membuat peran untuk akses terprogram dan konsol, SAML:aud atribut secara otomatis ditambahkan dan disetel ke AWS SAML titik URL akhir (https://signin.aws.amazon.com/saml).

Untuk menambahkan lebih banyak kondisi terkait atribut ke kebijakan trust, pilih Kondisi (opsional), pilih kondisi tambahan, dan tentukan nilai.

Tinjau informasi kepercayaan SAML 2.0 Anda dan kemudian pilih Berikutnya.

IAMmenyertakan daftar kebijakan yang AWS dikelola dan dikelola pelanggan di akun Anda. Pilih kebijakan yang akan digunakan untuk kebijakan izin, atau pilih Buat kebijakan untuk membuka tab browser baru dan membuat kebijakan baru dari awal. Untuk informasi selengkapnya, lihat Membuat IAM kebijakan. Setelah Anda membuat kebijakan, tutup tab tersebut dan kembali ke tab asli Anda. Pilih kotak centang di samping kebijakan izin yang ingin dimiliki OIDC oleh pengguna federasi. Jika Anda lebih suka, Anda boleh tidak memilih kebijakan saat ini, kemudian melampirkan kebijakan kepada peran di lain waktu. Secara default, peran tidak memiliki izin.

(Opsional) Tetapkan batas izin. Ini adalah fitur lanjutan.

Buka bagian batas izin dan pilih Gunakan batas izin untuk mengontrol izin peran maksimum. Pilih kebijakan yang akan digunakan untuk batas izin.

Pilih Berikutnya.

Pilih Berikutnya: Tinjau.

Untuk Nama peran, masukkan nama peran. Nama peran harus unik dalam diri Anda Akun AWS. Grup tidak dibedakan berdasarkan huruf besar-kecil. Misalnya, Anda tidak dapat membuat peran dengan nama PRODROLE dan prodrole. Karena AWS sumber daya lain mungkin merujuk peran, Anda tidak dapat mengedit nama peran setelah dibuat.

(Opsional) Untuk Deskripsi, masukkan deskripsi untuk peran baru ini.

Pilih Edit di Langkah 1: Pilih entitas tepercaya atau Langkah 2: Tambahkan bagian izin untuk mengedit kasus penggunaan dan izin untuk peran tersebut.

(Opsional) Tambahkan metadata ke dalam peran dengan melampirkan tanda sebagai pasangan nilai-kunci. Untuk informasi selengkapnya tentang penggunaan tag diIAM, lihatTag untuk AWS Identity and Access Management sumber daya.

Tinjau peran, lalu pilih Buat peran.