Pilih preferensi cookie Anda

Kami menggunakan cookie penting serta alat serupa yang diperlukan untuk menyediakan situs dan layanan. Kami menggunakan cookie performa untuk mengumpulkan statistik anonim sehingga kami dapat memahami cara pelanggan menggunakan situs dan melakukan perbaikan. Cookie penting tidak dapat dinonaktifkan, tetapi Anda dapat mengklik “Kustom” atau “Tolak” untuk menolak cookie performa.

Jika Anda setuju, AWS dan pihak ketiga yang disetujui juga akan menggunakan cookie untuk menyediakan fitur situs yang berguna, mengingat preferensi Anda, dan menampilkan konten yang relevan, termasuk iklan yang relevan. Untuk menerima atau menolak semua cookie yang tidak penting, klik “Terima” atau “Tolak”. Untuk membuat pilihan yang lebih detail, klik “Kustomisasi”.

Preferensi
Hubungi Kami
Umpan Balik
AWS Documentation
Buat Akun AWS

Konfigurasikan akses federasi ke Amazon Athena untuk pengguna Microsoft AD FS menggunakan klien ODBC

RSS
Mode fokus
Konfigurasikan akses federasi ke Amazon Athena untuk pengguna Microsoft AD FS menggunakan klien ODBC - Amazon Athena
1. Menyiapkan penyedia dan peran IAM SAMP2. Mengkonfigurasi AD FS3. Membuat pengguna dan grup Active Directory4. Mengkonfigurasi koneksi AD FS ODBC ke Athena

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Untuk mengatur akses federasi ke Amazon Athena untuk pengguna Microsoft Active Directory Federation Services (AD FS) menggunakan klien ODBC, pertama-tama Anda membangun kepercayaan antara AD FS dan akun Anda. AWS Dengan kepercayaan ini, pengguna AD Anda dapat bergabung AWS menggunakan kredensil AD mereka dan menerima izin peran AWS Identity and Access Management(IAM) untuk mengakses sumber daya AWS seperti Athena API.

Untuk membuat kepercayaan ini, Anda menambahkan AD FS sebagai penyedia SAMP ke Anda Akun AWS dan membuat peran IAM yang dapat diasumsikan oleh pengguna federasi. Di sisi AD FS, Anda menambahkan AWS sebagai pihak yang mengandalkan dan menulis aturan klaim SAMP untuk mengirim atribut pengguna yang tepat AWS untuk otorisasi (khususnya, Athena dan Amazon S3).

Mengkonfigurasi akses AD FS ke Athena melibatkan langkah-langkah utama berikut:

1. Menyiapkan penyedia dan peran IAM SAMP

2. Mengkonfigurasi AD FS

3. Membuat pengguna dan grup Active Directory

4. Mengkonfigurasi koneksi AD FS ODBC ke Athena

1. Menyiapkan penyedia dan peran IAM SAMP

Di bagian ini, Anda menambahkan AD FS sebagai penyedia SAMP ke AWS akun Anda dan membuat peran IAM yang dapat diasumsikan oleh pengguna federasi Anda.

Untuk mengatur penyedia SAMP

  1. Masuk ke AWS Management Console dan buka konsol IAM di https://console.aws.amazon.com/iam/.

  2. Pada panel navigasi, silakan pilih Penyedia identitas.

  3. Pilih Tambah penyedia.

  4. Untuk tipe Provider, pilih SAMP.

    Pilih SAML.

  5. Untuk nama Penyedia, masukkanadfs-saml-provider.

  6. Di browser, masukkan alamat berikut untuk mengunduh file XHTML federasi untuk server AD FS Anda. Untuk melakukan langkah ini, browser Anda harus memiliki akses ke server AD FS.

    https://adfs-server-name/federationmetadata/2007-06/federationmetadata.xml

  7. Di konsol IAM, untuk dokumen Metadata, pilih Pilih file, lalu unggah file metadata federasi ke. AWS

  8. Untuk menyelesaikannya, pilih Tambah penyedia.

Selanjutnya, Anda membuat peran IAM yang dapat diasumsikan oleh pengguna federasi Anda.

Untuk membuat peran IAM untuk pengguna federasi

  1. Di panel navigasi konsol IAM, pilih Peran.

  2. Pilih Buat peran.

  3. Untuk jenis entitas Tepercaya, pilih federasi SAMP 2.0.

  4. Untuk penyedia berbasis SAMP 2.0, pilih adfs-saml-providerpenyedia yang Anda buat.

  5. Pilih Izinkan akses Konsol Terprogram dan AWS Manajemen, lalu pilih Berikutnya.

    Memilih SAMP sebagai tipe entitas tepercaya.

  6. Pada halaman Tambahkan izin, filter untuk kebijakan izin IAM yang Anda perlukan untuk peran ini, lalu pilih kotak centang yang sesuai. Tutorial ini melampirkan AmazonAthenaFullAccess dan AmazonS3FullAccess kebijakan.

    Melampirkan kebijakan akses penuh Athena ke peran tersebut.
    Melampirkan kebijakan akses penuh Amazon S3 ke peran tersebut.

  7. Pilih Berikutnya.

  8. Pada halaman Nama, tinjau, dan buat, untuk nama Peran, masukkan nama untuk peran tersebut. Tutorial ini menggunakan nama adfs-data-access.

    Pada Langkah 1: Pilih entitas tepercaya, bidang Principal harus diisi "Federated:" "arn:aws:iam::account_id:saml-provider/adfs-saml-provider" secara otomatis. ConditionBidang harus berisi "SAML:aud" dan"https://signin.aws.amazon.com/saml".

    Entitas tepercaya JSON.

    Langkah 2: Tambahkan izin menunjukkan kebijakan yang telah Anda lampirkan ke peran tersebut.

    Daftar kebijakan yang dilampirkan pada peran.

  9. Pilih Buat peran. Pesan spanduk mengkonfirmasi penciptaan peran.

  10. Pada halaman Peran, pilih nama peran yang baru saja Anda buat. Halaman ringkasan untuk peran menunjukkan kebijakan yang telah dilampirkan.

    Halaman ringkasan untuk peran tersebut.

2. Mengkonfigurasi AD FS

Sekarang Anda siap untuk menambahkan AWS sebagai pihak yang mengandalkan dan menulis aturan klaim SAMP sehingga Anda dapat mengirim atribut pengguna yang tepat AWS untuk otorisasi.

Federasi berbasis SAML memiliki dua pihak peserta: IDP (Direktori Aktif) dan pihak yang mengandalkan (AWS), yang merupakan layanan atau aplikasi yang menggunakan otentikasi dari IDP.

Untuk mengonfigurasi AD FS, pertama-tama Anda menambahkan kepercayaan pihak yang bergantung, lalu Anda mengonfigurasi aturan klaim SAMP untuk pihak yang mengandalkan. AD FS menggunakan aturan klaim untuk membentuk pernyataan SAMP yang dikirim ke pihak yang mengandalkan. Pernyataan SAMP menyatakan bahwa informasi tentang pengguna AD adalah benar, dan telah mengautentikasi pengguna.

Menambahkan kepercayaan pihak yang mengandalkan

Untuk menambahkan kepercayaan pihak yang bergantung pada AD FS, Anda menggunakan pengelola server AD FS.

Untuk menambahkan kepercayaan pihak yang mengandalkan AD FS

  1. Masuk ke server AD FS.

  2. Pada menu Start, buka Server Manager.

  3. Pilih Tools, lalu pilih AD FS Management.

    Pilih Alat, Manajemen AD FS.

  4. Di panel navigasi, di bawah Trust Relationships, pilih Relying Party Trusts.

  5. Di bawah Tindakan, pilih Tambahkan Kepercayaan Pihak yang Mengandalkan.

    Pilih Tambahkan Kepercayaan Partai yang Mengandalkan.

  6. Pada halaman Add Relying Party Trust Wizard, pilih Mulai.

    Pilih Mulai.

  7. Di Pilih Sumber Data layar, pilih opsi Impor data tentang pihak yang mengandalkan yang dipublikasikan secara online atau di jaringan lokal.

  8. Untuk alamat metadata Federasi (nama host atau URL), masukkan URL https://signin.aws.amazon.com/static/saml-metadata.xml

  9. Pilih Berikutnya.

    Mengkonfigurasi sumber data.

  10. Pada halaman Tentukan Nama Tampilan, untuk Nama tampilan, masukkan nama tampilan untuk pihak yang Anda andalkan, lalu pilih Berikutnya.

    Masukkan nama tampilan untuk pihak yang mengandalkan.

  11. Pada halaman Configure Multi-factor Authentication Now, tutorial ini memilih Saya tidak ingin mengonfigurasi otentikasi multi-faktor untuk kepercayaan pihak yang mengandalkan ini saat ini.

    Untuk meningkatkan keamanan, kami menyarankan Anda mengonfigurasi otentikasi multi-faktor untuk membantu melindungi sumber daya Anda AWS . Karena menggunakan dataset sampel, tutorial ini tidak mengaktifkan otentikasi multi-faktor.

    Mengkonfigurasi otentikasi multi-faktor.

  12. Pilih Berikutnya.

  13. Pada halaman Pilih Aturan Otorisasi Penerbitan, pilih Izinkan semua pengguna untuk mengakses pihak yang bergantung ini.

    Opsi ini memungkinkan semua pengguna di Active Directory untuk menggunakan AD FS AWS sebagai pihak yang mengandalkan. Anda harus mempertimbangkan persyaratan keamanan Anda dan menyesuaikan konfigurasi ini sesuai dengan itu.

    Mengkonfigurasi akses pengguna ke pihak yang mengandalkan.

  14. Pilih Berikutnya.

  15. Pada halaman Siap Tambah Kepercayaan, pilih Berikutnya untuk menambahkan kepercayaan pihak yang mengandalkan ke database konfigurasi AD FS.

    Pilih Berikutnya.

  16. Pada halaman Selesai, pilih Tutup.

    Pilih Tutup.

Mengkonfigurasi aturan klaim SAMP untuk pihak yang mengandalkan

Dalam tugas ini, Anda membuat dua set aturan klaim.

Set pertama, aturan 1—4, berisi aturan klaim AD FS yang diperlukan untuk mengambil peran IAM berdasarkan keanggotaan grup AD. Ini adalah aturan yang sama yang Anda buat jika Anda ingin membuat akses federasi ke. AWS Management Console

Set kedua, aturan 5—6, adalah aturan klaim yang diperlukan untuk kontrol akses Athena.

Untuk membuat aturan klaim AD FS

  1. Di panel navigasi konsol Manajemen AD FS, pilih Trust Relationships, Relying Party Trusts.

  2. Temukan pihak yang mengandalkan yang Anda buat di bagian sebelumnya.

  3. Klik kanan pihak yang mengandalkan dan pilih Edit Aturan Klaim, atau pilih Edit Aturan Klaim dari menu Tindakan.

    Pilih Edit Aturan Klaim.

  4. Pilih Tambahkan aturan.

  5. Pada halaman Configure Rule dari Add Transform Claim Rule Wizard, masukkan informasi berikut untuk membuat aturan klaim 1, lalu pilih Selesai.

    • Untuk nama Aturan Klaim, masukkanNameID.

    • Untuk template Aturan, gunakan Transform an Incoming Claim.

    • Untuk jenis klaim masuk, pilih nama akun Windows.

    • Untuk jenis klaim keluar, pilih ID Nama.

    • Untuk format ID nama keluar, pilih Persistent Identifier.

    • Pilih Lewati semua nilai klaim.

    Buat aturan klaim pertama.

  6. Pilih Tambah Aturan, lalu masukkan informasi berikut untuk membuat aturan klaim 2, lalu pilih Selesai.

    • Untuk nama aturan Klaim, masukkanRoleSessionName.

    • Untuk template Aturan, gunakan Kirim Atribut LDAP sebagai Klaim.

    • Untuk toko Atribut, pilih Active Directory.

    • Untuk Pemetaan atribut LDAP ke tipe klaim keluar, tambahkan atribut. E-Mail-Addresses Untuk Jenis Klaim Keluar, masukkan https://aws.amazon.com/SAML/Attributes/RoleSessionName.

    Buat aturan klaim kedua.

  7. Pilih Tambah Aturan, lalu masukkan informasi berikut untuk membuat aturan klaim 3, lalu pilih Selesai.

    • Untuk nama aturan Klaim, masukkanGet AD Groups.

    • Untuk templat Aturan, gunakan Kirim Klaim Menggunakan Aturan Kustom.

    • Untuk aturan Custom, masukkan kode berikut:

      c:[Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname", 
 Issuer == "AD AUTHORITY"]=> add(store = "Active Directory", types = ("http://temp/variable"),  
 query = ";tokenGroups;{0}", param = c.Value);
      Buat aturan klaim ketiga.

  8. Pilih Tambahkan aturan. Masukkan informasi berikut untuk membuat aturan klaim 4, lalu pilih Selesai.

    • Untuk nama aturan Klaim, masukkanRole.

    • Untuk templat Aturan, gunakan Kirim Klaim Menggunakan Aturan Kustom.

    • Untuk aturan Custom, masukkan kode berikut dengan nomor akun Anda dan nama penyedia SAMP yang Anda buat sebelumnya:

      c:[Type == "http://temp/variable", Value =~ "(?i)^aws-"]=> issue(Type = "https://aws.amazon.com/SAML/Attributes/Role",  
Value = RegExReplace(c.Value, "aws-", "arn:aws:iam::AWS_ACCOUNT_NUMBER:saml-provider/adfs-saml-provider,arn:aws:iam:: AWS_ACCOUNT_NUMBER:role/"));
    Buat aturan klaim keempat.

3. Membuat pengguna dan grup Active Directory

Sekarang Anda siap membuat pengguna AD yang akan mengakses Athena, dan grup AD untuk menempatkannya sehingga Anda dapat mengontrol tingkat akses berdasarkan grup. Setelah membuat grup AD yang mengkategorikan pola akses data, Anda menambahkan pengguna ke grup tersebut.

Untuk membuat pengguna AD untuk akses ke Athena

  1. Di dasbor Server Manager, pilih Tools, lalu pilih Active Directory Users and Computers.

    Pilih Alat, Pengguna Direktori Aktif, dan Komputer.

  2. Di panel navigasi, pilih Pengguna.

  3. Pada bilah alat Pengguna dan Komputer Direktori Aktif, pilih opsi Buat pengguna.

    Pilih Create user (Buat pengguna).

  4. Di kotak dialog Objek Baru - Pengguna, untuk Nama depan, Nama belakang, dan Nama lengkap, masukkan nama. Tutorial ini menggunakan Jane Doe.

    Masukkan nama pengguna.

  5. Pilih Berikutnya.

  6. Untuk Kata Sandi, masukkan kata sandi, lalu ketik ulang untuk mengonfirmasi.

    Untuk mempermudah, tutorial ini membatalkan pilihan Pengguna harus mengubah kata sandi saat masuk berikutnya. Dalam skenario dunia nyata, Anda harus meminta pengguna yang baru dibuat untuk mengubah kata sandi mereka.

    Masukkan kata sandi.

  7. Pilih Berikutnya.

  8. Pilih Selesai.

    Pilih Selesai.

  9. Di Active Directory Users and Computers, pilih nama pengguna.

  10. Dalam kotak dialog Properti untuk pengguna, untuk E-mail, masukkan alamat email. Tutorial ini menggunakan jane@example.com.

    Masukkan alamat email.

  11. Pilih OKE.

Buat grup AD untuk mewakili pola akses data

Anda dapat membuat grup AD yang anggotanya mengambil peran adfs-data-access IAM saat mereka masuk AWS. Contoh berikut membuat grup AD yang disebut aws-adfs-data-access.

Untuk membuat grup AD

  1. Pada Dasbor Server Manager, dari menu Tools, pilih Active Directory Users and Computers.

  2. Pada bilah alat, pilih opsi Buat grup baru.

    Pilih Buat grup baru.

  3. Di kotak dialog Objek Baru - Grup, masukkan informasi berikut:

    • Untuk nama Grup, masukkanaws-adfs-data-access.

    • Untuk lingkup Grup, pilih Global.

    • Untuk jenis Grup, pilih Keamanan.

    Membuat grup keamanan global di AD.

  4. Pilih OKE.

Tambahkan pengguna AD ke grup yang sesuai

Sekarang setelah Anda membuat pengguna AD dan grup AD, Anda dapat menambahkan pengguna ke grup.

Untuk menambahkan pengguna AD ke grup AD

  1. Pada Dasbor Server Manager, pada menu Tools, pilih Active Directory Users and Computers.

  2. Untuk Nama depan dan Nama belakang, pilih pengguna (misalnya, Jane Doe).

  3. Di kotak dialog Properti untuk pengguna, pada tab Anggota Dari, pilih Tambah.

    Pilih Tambahkan.

  4. Tambahkan satu atau lebih grup AD FS sesuai dengan kebutuhan Anda. Tutorial ini menambahkan aws-adfs-data-accessgrup.

  5. Dalam kotak dialog Pilih Grup, untuk Masukkan nama objek yang akan dipilih, masukkan nama grup AD FS yang Anda buat (misalnya,aws-adfs-data-access), lalu pilih Periksa Nama.

    Pilih Periksa Nama.

  6. Pilih OKE.

    Di kotak dialog Properti untuk pengguna, nama grup AD muncul di daftar Anggota.

    Grup AD ditambahkan ke properti pengguna.

  7. Pilih Terapkan, lalu pilih OK.

4. Mengkonfigurasi koneksi AD FS ODBC ke Athena

Setelah membuat pengguna dan grup AD, Anda siap menggunakan program Sumber Data ODBC di Windows untuk mengonfigurasi koneksi Athena ODBC Anda untuk AD FS.

Untuk mengonfigurasi koneksi AD FS ODBC ke Athena

  1. Instal driver ODBC untuk Athena. Untuk tautan unduhan, lihatConnect ke Amazon Athena dengan ODBC.

  2. Di Windows, pilih Mulai, Sumber Data ODBC.

  3. Dalam program Administrator Sumber Data ODBC, pilih Tambah.

    Pilih Tambah untuk menambahkan sumber data ODBC.

  4. Dalam Buat Sumber Data Baru kotak dialog, pilih Simba Athena ODBC Driver, lalu pilih Selesai.

    Pilih Simba Athena ODBC Driver.

  5. Dalam Simba Athena ODBC Driver DSN Setup kotak dialog, masukkan nilai-nilai berikut:

    • Untuk Nama Sumber Data, masukkan nama untuk sumber data Anda (misalnya, Athena-odbc-test).

    • Untuk Deskripsi, masukkan deskripsi untuk sumber data Anda.

    • Untuk Wilayah AWS, masukkan Wilayah AWS yang Anda gunakan (misalnya, us-west-1).

    • Untuk Lokasi Output S3, masukkan jalur Amazon S3 tempat Anda ingin output disimpan.

    Memasukkan nilai untuk Simba Athena ODBC Driver DSN Setup.

  6. Pilih Opsi Otentikasi.

  7. Dalam Opsi Otentikasi kotak dialog, tentukan nilai berikut:

    • Untuk Jenis Otentikasi, pilih ADFS.

    • Untuk Pengguna, masukkan alamat email pengguna (misalnya,jane@example.com).

    • Untuk Kata Sandi, masukkan kata sandi ADFS pengguna.

    • Untuk iDP Host, masukkan nama server AD FS (misalnya,adfs.example.com).

    • Untuk IDP Port, gunakan nilai default 443.

    • Pilih opsi SSL Insecure.

    Mengkonfigurasi opsi otentikasi.

  8. Pilih OK untuk menutup Opsi Otentikasi.

  9. Pilih Uji untuk menguji koneksi, atau OK untuk menyelesaikan.

Di halaman ini

PrivasiSyarat situsPreferensi cookie
© 2025, Amazon Web Services, Inc. atau afiliasinya. Semua hak dilindungi undang-undang.