View a markdown version of this page

Aturan klaim AD FS dan pengaturan SAML - Panduan Pengguna Lanjutan AMS
Konfigurasi aturan klaim ADFSKonsol webAkses API dan CLI dengan SAML

Pemberitahuan akhir dukungan: Pada 30 Juni 2027, dukungan untuk AMS Advanced AWS akan berakhir. Setelah 30 Juni 2027, Anda tidak akan lagi dapat mengakses konsol AMS Advanced atau sumber daya AMS Advanced. Untuk informasi selengkapnya, lihat Akhir dukungan AMS Advanced.

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Aturan klaim AD FS dan pengaturan SAML

ActiveDirectory Aturan klaim Layanan Federasi (AD FS) dan pengaturan SAML untuk AWS Managed Services (AMS)

Untuk petunjuk langkah demi langkah terperinci tentang cara menginstal dan mengonfigurasi AD FS, lihat Mengaktifkan Federasi ke AWS Menggunakan Windows Active Directory, ADFS, dan SAML 2.0.

Konfigurasi aturan klaim ADFS

Jika Anda sudah memiliki implementasi ADFS, konfigurasikan berikut:

  • Mengandalkan kepercayaan pihak

  • Aturan klaim

Langkah-langkah aturan kepercayaan dan klaim pihak yang bergantung diambil dari Meng aktifkan Federasi ke AWS Menggunakan Windows Active Directory, AD FS, dan blog SAML 2.0

  • Aturan klaim:

    • Nameid: Konfigurasi per posting blog

    • RoleSessionName: Konfigurasikan sebagai berikut

      • Nama aturan klaim: RoleSessionName

      • Toko atribut: Active Directory

      • Atribut LDAP: SAM-Account-Name

      • Jenis Klaim Keluar: https://aws.amazon.com/SAML/Attributes/RoleSessionName

      • Dapatkan Grup AD: Konfigurasi per posting blog

      • Klaim peran: Konfigurasikan sebagai berikut

        
c:[Type == "http://temp/variable", Value =~ "(?i)^AWS-([\d]{12})-"]

        
=> issue(Type = "https://aws.amazon.com/SAML/Attributes/Role", Value = RegExReplace(c.Value, "AWS-([\d]{12})-", "arn:aws:iam::$1:saml-provider/customer-readonly-saml,arn:aws:iam::$1:role/"));

Konsol web

Anda dapat mengakses konsol Web AWS dengan menggunakan tautan di bawah ini menggantikan [ADFS-FQDN] dengan FQDN implementasi ADFS Anda.

https://[ADFS-FQDN]adfs/ls/IdpInitiatedSignOn.aspx

Departemen TI Anda dapat menerapkan tautan di atas ke populasi pengguna melalui Kebijakan Grup.

Akses API dan CLI dengan SAML

Cara mengkonfigurasi akses API dan CLI dengan SAML.

Paket python bersumber dari posting blog di bawah ini:

Konfigurasi skrip

  1. Menggunakan Notepad ++, ubah wilayah default ke wilayah yang benar

  2. Menggunakan Notepad ++, nonaktifkan verifikasi SSL untuk lingkungan pengujian dan pengembang

  3. Menggunakan Notepad ++, konfigurasikan idpentryurl

    https://[ADFS-FDQN]/adfs/ls/IdpInitiatedSignOn.aspx?loginToRp=urn:amazon:webservices

Konfigurasi Windows

Instruksi di bawah ini adalah untuk paket python. KredenSIAL yang dihasilkan akan berlaku selama 1 jam.

  1. Unduh dan instal python (2.7.11)

  2. Unduh dan instal alat AWS CLI

  3. Instal AMS CLI:

    1. Unduh file zip AMS yang dapat didistribusikan yang disediakan oleh manajer pengiriman layanan cloud (CSDM) Anda dan unzip.

      Beberapa direktori dan file tersedia.

    2. Buka direktori Man aged Cloud Distributables -> CLI -> Windows atau Man aged Cloud Distributables -> CLI -> Linux/macOS, tergantung pada sistem operasi Anda, dan:

      Untuk Windows, jalankan penginstal yang sesuai (metode ini hanya berfungsi pada sistem Windows 32 atau 64 bit):

      • 32-bit: ManagedCloud API_x86.msi

      • 64-bit: ManagedCloud API_x64.msi

      Untuk Mac/Linux, jalankan file bernama: MC_ CLI.sh. Anda dapat melakukan ini dengan menjalankan perintah ini:sh MC_CLI.sh. Perhatikan bahwa direktori amscm dan amsskms dan isinya harus berada di direktori yang sama dengan file MC_. CLI.sh

    3. Jika kredenSIAL perusahaan Anda digunakan melalui federasi dengan AWS (konfigurasi default AMS), Anda harus menginstal alat manajemen kredenSIAL yang dapat mengakses layanan federasi Anda. Misalnya, Anda dapat menggunakan Blog Keamanan AWS ini Cara Menerapkan Akses API dan CLI Federated Menggunakan SAML 2.0 dan AD FS untuk bantuan mengonfigurasi alat manajemen kredensia Anda.

    4. Setelah instalasi, jalankan aws amscm help dan aws amsskms help untuk melihat perintah dan opsi.

  4. Unduh skrip SAML yang diperlukan

    Unduh ke c:\aws\scripts

  5. Unduh PIP

    Unduh ke c:\aws\downloads

  6. Menggunakan PowerShell, instal PIP

    <pythondir>. \ python.exe c:\aws\downloads\get -pip.py

  7. Menggunakan PowerShell, instal modul boto

    <pythondir\ scripts>pip install bot

  8. Menggunakan PowerShell, instal modul permintaan

    <pythondir\ scripts>permintaan pemasangan pip

  9. Menggunakan PowerShell, menginstal permintaan modul keamanan

    <pythondir\ scripts>permintaan pemasangan pip [keamanan]

  10. Menggunakan PowerShell, instal modul beautifulsoup

    <pythondir\ scripts>pip instal beautifulsoup4

  11. Menggunakan PowerShell, buat folder bernama .aws di profil pengguna (%userprofile%\ .aws)

    mkdir.aws

  12. Menggunakan PowerShell, buat file kredensi di folder.aws

    New-Item kredenSIAL -jenis file —force

    File kredenSIAL tidak boleh memiliki ekstensi file

    Nama file harus semua huruf kecil dan memiliki kredenSIAL nama

  13. Buka file kredenSIAL dengan notepad dan tempel data berikut, tentukan wilayah yang benar

    
[default]
output = json
region = us-east-1
aws_access_key_id = 
aws_secret_access_key =

  14. Menggunakan PowerShell, skrip SAML dan logon

    <pythondir>. \ python.exe c:\aws\scripts\samlapi.py

    Nama Pengguna: [USERNAME] @upn

    Pilih peran yang ingin Anda ambil

Konfigurasi Linux

KredenSIAL yang dihasilkan akan berlaku selama 1 jam.

  1. Menggunakan WinSCP, transfer skrip SAML

  2. Menggunakan WinSCP, transfer sertifikat Root CA (abaikan untuk pengujian dan pengembangan)

  3. Tambahkan ROOT CA ke sertifikat root tepercaya (abaikan untuk pengujian dan pengembangan)

    $ openssl x509 -informasikan der -in [certname] .cer -out certificate.pem (abaikan untuk pengujian dan dev)

    Tambahkan konten certificate.pem ke akhir file/etc/ssl/certs/ca-bundle.crt ((abaikan untuk test dev)

  4. Buat folder.aws di home/ec2 -user 5

    
[default]
output = json
region = us-east-1
aws_access_key_id = 
aws_secret_access_key =

  5. Menggunakan WinSCP, transfer file kredenSIAL ke folder.aws

  6. Instal modul boto

    $ sudo pip install bot

  7. Instal modul permintaan

    $ sudo pip permintaan instalasi

  8. Instal modul beautifulsoup

    $ sudo pip instal beautifulsoup4

  9. Salin skrip ke home/ec2 -user

    Tetapkan izin yang diperlukan

    Jalankan skrip: samlapi.py