Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Federasi SAML 2.0

AWS mendukung federasi identitas dengan SAML 2.0 (Security Assertion Markup Language 2.0), standar terbuka yang digunakan banyak penyedia identitas (IdPs). Fitur ini mengaktifkan sistem masuk tunggal federasi (SSO), sehingga pengguna dapat masuk ke Konsol Manajemen AWS atau memanggil operasi AWS API tanpa Anda harus membuat pengguna IAM untuk semua orang di organisasi Anda. Dengan menggunakan SAML, Anda dapat menyederhanakan proses konfigurasi federasi dengan AWS, karena Anda dapat menggunakan layanan IdP alih-alih menulis kode proxy identitas kustom.

Federasi IAM mendukung penggunaan kasus ini:

Menggunakan SAML-based federasi untuk akses API ke AWS

Asumsikan bahwa Anda ingin menyediakan cara bagi karyawan untuk menyalin data dari komputer mereka ke folder cadangan. Anda membuat aplikasi yang dapat dijalankan pengguna di komputer mereka. Di bagian belakang, aplikasi membaca dan menulis objek dalam bucket Amazon S3. Pengguna tidak memiliki akses langsung ke AWS. Alih-alih, proses berikut ini digunakan:

Ikhtisar pengkonfigurasian federasi berbasis SAML 2.0

Sebelum Anda dapat menggunakan federasi berbasis SAML 2.0 seperti yang dijelaskan dalam skenario dan diagram sebelumnya, Anda harus mengonfigurasi IdP organisasi Anda dan Anda Akun AWS untuk saling percaya. Proses umum untuk mengonfigurasikan kepercayaan ini dijelaskan dalam langkah-langkah berikut. Di dalam organisasi, Anda harus memiliki IdP yang mendukung SAML 2.0, seperti Microsoft Active Directory Federation Service (AD FS, bagian dari Windows Server), Shibboleth, atau penyedia SAML 2.0 lain yang kompatibel.

Ikhtisar peran untuk memungkinkan SAML-federated akses ke Anda AWS sumber daya

Peran yang Anda buat di IAM menentukan apa yang diizinkan dilakukan oleh prinsipal federasi SAML dari organisasi Anda. AWS Saat membuat kebijakan kepercayaan untuk peran, Anda menentukan penyedia SAML yang dibuat sebelumnya sebagai Principal. Anda juga dapat mencakup kebijakan kepercayaan dengan Condition untuk hanya mengizinkan pengguna yang cocok dengan atribut SAML tertentu untuk mengakses peran. Misalnya, Anda dapat menentukan bahwa hanya pengguna yang afiliasi SAML-nya staff (seperti yang ditegaskan olehhttps://openidp.feide.no) yang diizinkan untuk mengakses peran, seperti yang diilustrasikan oleh kebijakan sampel berikut:

JSON

{
  "Version":"2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Principal": {"Federated": "arn:aws:iam::111122223333:saml-provider/ExampleOrgSSOProvider"},
    "Action": "sts:AssumeRoleWithSAML",
    "Condition": {
      "StringEquals": {
        "saml:aud": "https://us-east-1.signin.aws.amazon.com/saml",
        "saml:iss": "https://openidp.feide.no"
      },
      "ForAllValues:StringLike": {"saml:edupersonaffiliation": ["staff"]}
    }
  }]
}

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Federated": "arn:aws-cn:iam::111122223333:saml-provider/ExampleOrgSSOProvider"
            },
            "Action": "sts:AssumeRoleWithSAML",
            "Condition": {
                "StringEquals": {
                    "saml:aud": "https://cn-north-1.signin.amazonaws.cn/saml",
                    "saml:iss": "https://openidp.feide.no"
                },
                "ForAllValues:StringLike": {
                    "saml:edupersonaffiliation": [
                        "staff"
                    ]
                }
            }
        }
    ]
}

K saml:aud unci konteks dalam kebijakan menentukan URL yang ditampilkan browser Anda saat masuk ke konsol. URL titik akhir masuk ini harus sesuai dengan atribut penerima penyedia identitas Anda. Anda dapat menyertakan URL masuk dalam wilayah tertentu. AWS merekomendasikan penggunaan titik akhir Regional alih-alih titik akhir global untuk meningkatkan ketahanan federasi. Jika Anda hanya memiliki satu titik akhir yang dikonfigurasi, Anda tidak akan dapat bergabung ke AWS dalam hal yang tidak mungkin terjadi bahwa titik akhir menjadi tidak tersedia. Untuk daftar region-code nilai yang mungkin, lihat kolom Wilayah di titik akhir AWS Sign-In titik akhir

Contoh berikut menunjukkan format URL masuk dengan opsional yang region-code.

https://region-code.signin.aws.amazon.com/saml

Jika enkripsi SAML diperlukan, URL masuk harus menyertakan pengidentifikasi unik yang ditetapkan AWS untuk penyedia SAML Anda, yang dapat Anda temukan di halaman detail penyedia identitas. Dalam contoh berikut, URL masuk menyertakan pengenal unik IdP, yang mengharuskan /acs/ ditambahkan ke jalur masuk.

https://region-code.signin.aws.amazon.com/saml/acs/IdP-ID

Untuk kebijakan izin dalam peran tersebut, Anda menentukan izin seperti yang Anda inginkan untuk peran apa pun. Misalnya, jika pengguna dari organisasi Anda diizinkan untuk menjalankan instans Amazon Elastic Compute Cloud, Anda harus secara eksplisit mengizinkan tindakan Amazon EC2 dalam kebijakan izin, seperti yang ada di AmazonEC2FullAccess kebijakan yang dikelola.

Untuk informasi selengkapnya tentang kunci SAML yang dapat Anda periksa di kebijakan, lihat Kunci yang tersedia untuk SAML-based AWS STS federasi.

Mengidentifikasi pengguna secara unik di SAML-based federasi

Saat Anda membuat kebijakan akses di IAM, seringkali berguna untuk dapat menentukan izin berdasarkan identitas pengguna. Misalnya, bagi pengguna yang telah difederasikan menggunakan SAML, aplikasi mungkin ingin menyimpan informasi di Amazon S3 menggunakan struktur seperti ini:

amzn-s3-demo-bucket/app1/user1
amzn-s3-demo-bucket/app1/user2
amzn-s3-demo-bucket/app1/user3

Anda dapat membuat bucket (amzn-s3-demo-bucket) dan folder (app1) melalui konsol Amazon S3 atau AWS CLI, karena itu adalah nilai statis. Namun, folder khusus pengguna (user1user2,user3,, dll.) harus dibuat pada waktu berjalan menggunakan kode, karena nilai yang mengidentifikasi pengguna tidak diketahui sampai pertama kali pengguna masuk melalui proses federasi.

Untuk menulis kebijakan yang merujuk detail spesifik pengguna sebagai bagian dari nama sumber daya, Identitas pengguna harus tersedia dalam kunci SAML yang dapat digunakan dalam ketentuan kebijakan. Kunci-kunci berikut tersedia untuk federasi berbasis SAML 2.0 untuk digunakan dalam kebijakan IAM. Anda dapat menggunakan nilai yang dikembalikan oleh kunci berikut untuk membuat pengidentifikasi pengguna unik untuk sumber daya seperti folder Amazon S3.

Contoh berikut menunjukkan kebijakan izin yang menggunakan kunci sebelumnya untuk memberikan izin ke folder khusus pengguna di Amazon S3. Kebijakan ini mengasumsikan bahwa objek Amazon S3 diidentifikasi menggunakan awalan yang menyertakan keduanya saml:namequalifier dansaml:sub. Perhatikan bahwa elemen Condition mencakup pengujian untuk memastikan bahwa saml:sub_type diatur ke persistent. Jika diatur ke transient, nilai saml:sub untuk pengguna dapat berbeda untuk setiap sesi, dan kombinasi nilai tidak boleh digunakan untuk mengidentifikasi folder khusus pengguna.

JSON

{
  "Version":"2012-10-17",
  "Statement": {
    "Effect": "Allow",
    "Action": [
      "s3:GetObject",
      "s3:PutObject",
      "s3:DeleteObject"
    ],
    "Resource": [
      "arn:aws:s3:::amzn-s3-demo-bucket-org-data/backup/${saml:namequalifier}/${saml:sub}",
      "arn:aws:s3:::amzn-s3-demo-bucket-org-data/backup/${saml:namequalifier}/${saml:sub}/*"
    ],
    "Condition": {"StringEquals": {"saml:sub_type": "persistent"}}
  }
}

JSON

{
  "Version":"2012-10-17",
  "Statement": {
    "Effect": "Allow",
    "Action": [
      "s3:GetObject",
      "s3:PutObject",
      "s3:DeleteObject"
    ],
    "Resource": [
      "arn:aws-cn:s3:::amzn-s3-demo-bucket-org-data/backup/${saml:namequalifier}/${saml:sub}",
      "arn:aws-cn:s3:::amzn-s3-demo-bucket-org-data/backup/${saml:namequalifier}/${saml:sub}/*"
    ],
    "Condition": {"StringEquals": {"saml:sub_type": "persistent"}}
  }
}

Untuk informasi selengkapnya tentang pernyataan pemetaan dari IdP ke kunci kebijakan, lihat Konfigurasikan pernyataan SAML untuk respons otentikasi.