Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.
Anda dapat secara otomatis menyediakan atau menyinkronkan informasi pengguna dan grup Okta ke Pusat Identitas IAM menggunakan protokol System for Cross-domain Identity Management (SCIM) 2.0. Untuk informasi selengkapnya, lihat Menggunakan federasi identitas SAMP dan SCIM dengan penyedia identitas eksternal.
Untuk mengkonfigurasi koneksi ini di Okta, Anda menggunakan endpoint SCIM Anda untuk IAM Identity Center dan token pembawa yang dibuat secara otomatis oleh IAM Identity Center. Saat Anda mengonfigurasi sinkronisasi SCIM, Anda membuat pemetaan atribut pengguna Anda di Okta ke atribut bernama di IAM Identity Center. Pemetaan ini cocok dengan atribut pengguna yang diharapkan antara IAM Identity Center dan Okta akun.
Okta mendukung fitur penyediaan berikut saat terhubung ke IAM Identity Center melalui SCIM:
-
Buat pengguna - Pengguna yang ditugaskan ke aplikasi Pusat Identitas IAM di Okta disediakan di Pusat Identitas IAM.
-
Perbarui atribut pengguna - Perubahan atribut untuk pengguna yang ditugaskan ke aplikasi Pusat Identitas IAM di Okta diperbarui di Pusat Identitas IAM.
-
Nonaktifkan pengguna - Pengguna yang tidak ditugaskan dari aplikasi Pusat Identitas IAM di Okta dinonaktifkan di Pusat Identitas IAM.
-
Group push — Grup (dan anggotanya) di Okta disinkronkan ke Pusat Identitas IAM.
catatan
Untuk meminimalkan overhead administratif di keduanya Okta dan Pusat Identitas IAM, kami menyarankan Anda menetapkan dan mendorong grup alih-alih pengguna individu.
Objektif
Dalam tutorial ini, Anda akan berjalan melalui pengaturan koneksi SAFL dengan Okta Pusat Identitas IAM. Nanti, Anda akan menyinkronkan pengguna dari Okta, menggunakan SCIM. Dalam skenario ini, Anda mengelola semua pengguna dan grup di Okta. Pengguna masuk melalui Okta portal. Untuk memverifikasi semuanya dikonfigurasi dengan benar, setelah menyelesaikan langkah-langkah konfigurasi Anda akan masuk sebagai Okta pengguna dan verifikasi akses ke AWS sumber daya.
catatan
Anda dapat mendaftar untuk Okta akun (uji coba gratis
Jika Anda belum mengaktifkan IAM Identity Center, lihatAktifkan Pusat Identitas IAM.
Pertimbangan
-
Sebelum Anda mengonfigurasi penyediaan SCIM antara Okta dan IAM Identity Center, kami sarankan Anda meninjau Pertimbangan untuk menggunakan penyediaan otomatis terlebih dahulu.
-
Setiap Okta pengguna harus memiliki nilai Nama depan, Nama belakang, Nama pengguna dan nama Tampilan yang ditentukan.
-
Masing-masing Okta pengguna hanya memiliki satu nilai per atribut data, seperti alamat email atau nomor telepon. Setiap pengguna yang memiliki banyak nilai akan gagal untuk menyinkronkan. Jika ada pengguna yang memiliki beberapa nilai dalam atributnya, hapus atribut duplikat sebelum mencoba menyediakan pengguna di Pusat Identitas IAM. Misalnya, hanya satu atribut nomor telepon yang dapat disinkronkan, karena atribut nomor telepon default adalah “telepon kerja”, gunakan atribut “telepon kerja” untuk menyimpan nomor telepon pengguna, bahkan jika nomor telepon untuk pengguna adalah telepon rumah atau ponsel.
-
Saat menggunakan Okta dengan IAM Identity Center, IAM Identity Center umumnya dikonfigurasi sebagai Aplikasi di Okta. Hal ini memungkinkan Anda untuk mengkonfigurasi beberapa instance IAM Identity Center sebagai beberapa aplikasi, mendukung akses ke beberapa AWS Organizations, dalam satu instance Okta.
-
Hak dan atribut peran tidak didukung dan tidak dapat disinkronkan dengan Pusat Identitas IAM.
-
Menggunakan yang sama Okta grup untuk tugas dan push grup saat ini tidak didukung. Untuk menjaga keanggotaan grup yang konsisten antara Okta dan IAM Identity Center, buat grup terpisah dan konfigurasikan untuk mendorong grup ke IAM Identity Center.
Langkah 1: Okta: Dapatkan metadata SAFL dari Anda Okta akun
-
Masuk ke Okta admin dashboard, perluas Aplikasi, lalu pilih Aplikasi.
-
Pada halaman Aplikasi, pilih Jelajahi Katalog Aplikasi.
-
Di kotak pencarian, ketik AWS IAM Identity Center, pilih aplikasi untuk menambahkan aplikasi Pusat Identitas IAM.
-
Pilih tab Masuk.
-
Di bawah Sertifikat Penandatanganan SAMP, pilih Tindakan, lalu pilih Lihat Metadata IDP. Tab browser baru terbuka menunjukkan pohon dokumen dari file XML. Pilih semua XMLnya dari
<md:EntityDescriptor>
to</md:EntityDescriptor>
dan salin ke file teks. -
Simpan file teks sebagai
metadata.xml
.
Tinggalkan Okta admin dashboard buka, Anda akan terus menggunakan konsol ini di langkah selanjutnya.
Langkah 2: Pusat Identitas IAM: Konfigurasi Okta sebagai sumber identitas untuk IAM Identity Center
-
Buka konsol Pusat Identitas IAM
sebagai pengguna dengan hak administratif. -
Pilih Pengaturan di panel navigasi kiri.
-
Pada halaman Pengaturan, pilih Tindakan, lalu pilih Ubah sumber identitas.
-
Di bawah Pilih sumber identitas, pilih Penyedia identitas eksternal, lalu pilih Berikutnya.
-
Di bawah Konfigurasi penyedia identitas eksternal, lakukan hal berikut:
-
Di bawah metadata penyedia layanan, pilih Unduh file metadata untuk mengunduh file metadata Pusat Identitas IAM dan menyimpannya di sistem Anda. Anda akan memberikan file metadata SALL Pusat Identitas IAM ke Okta kemudian dalam tutorial ini.
Salin item berikut ke file teks untuk memudahkan akses:
-
URL Layanan Konsumen (ACS) Pernyataan Pusat Identitas IAM
-
URL penerbit IAM Identity Center
Anda akan membutuhkan nilai-nilai ini nanti dalam tutorial ini.
-
-
Di bawah Metadata penyedia identitas, di bawah metadata IDP SAMP, pilih Pilih file lalu pilih file yang Anda buat di langkah sebelumnya
metadata.xml
. -
Pilih Berikutnya.
-
-
Setelah Anda membaca disclaimer dan siap untuk melanjutkan, masukkan ACCEPT.
-
Pilih Ubah sumber identitas.
Biarkan AWS konsol terbuka, Anda akan terus menggunakan konsol ini di langkah berikutnya.
-
Kembali ke Okta admin dashboard dan pilih tab Masuk AWS IAM Identity Center aplikasi, lalu pilih Edit.
-
Di bawah Pengaturan Masuk Lanjutan, masukkan yang berikut ini:
-
Untuk URL ACS, masukkan nilai yang Anda salin untuk URL IAM Identity Center Assertion Consumer Service (ACS)
-
Untuk URL Penerbit, masukkan nilai yang Anda salin untuk URL penerbit IAM Identity Center
-
Untuk format nama pengguna Aplikasi, pilih salah satu opsi dari menu.
Pastikan nilai yang Anda pilih unik untuk setiap pengguna. Untuk tutorial ini, pilih nama pengguna Okta
-
-
Pilih Simpan.
Anda sekarang siap untuk menyediakan pengguna dari Okta ke Pusat Identitas IAM. Tinggalkan Okta admin dashboard buka, dan kembali ke konsol IAM Identity Center untuk langkah selanjutnya.
Langkah 3: Pusat Identitas IAM dan Okta: Ketentuan Okta pengguna
-
Di konsol Pusat Identitas IAM di halaman Pengaturan, cari kotak Informasi penyediaan otomatis, lalu pilih Aktifkan. Ini memungkinkan penyediaan otomatis di IAM Identity Center dan menampilkan titik akhir SCIM dan informasi token akses yang diperlukan.
-
Di kotak dialog Penyediaan otomatis masuk, salin setiap nilai untuk opsi berikut:
-
Titik akhir SCIM - Misalnya, https://scim.
us-east-2
.amazonaws.com/ /scim/v211111111111-2222-3333-4444-555555555555
-
Access token - Pilih Tampilkan token untuk menyalin nilainya.
Awas
Ini adalah satu-satunya waktu di mana Anda dapat memperoleh titik akhir SCIM dan token akses. Pastikan Anda menyalin nilai-nilai ini sebelum bergerak maju. Anda akan memasukkan nilai-nilai ini untuk mengonfigurasi penyediaan otomatis di Okta kemudian dalam tutorial ini.
-
-
Pilih Tutup.
-
Kembali ke Okta admin dashboard dan arahkan ke aplikasi Pusat Identitas IAM.
-
Pada halaman aplikasi Pusat Identitas IAM, pilih tab Penyediaan, lalu di navigasi kiri di bawah Pengaturan, pilih Integrasi.
-
Pilih Edit, lalu pilih kotak centang di samping Aktifkan integrasi API untuk mengaktifkan penyediaan otomatis.
-
Konfigurasi Okta dengan nilai penyediaan SCIM dari AWS IAM Identity Center yang Anda salin sebelumnya di langkah ini:
-
Di bidang URL Dasar, masukkan nilai titik akhir SCIM.
-
Di bidang Token API, masukkan nilai token Access.
-
-
Pilih Test API Credentials untuk memverifikasi kredensi yang dimasukkan valid.
Pesan berhasil AWS IAM Identity Center diverifikasi! menampilkan.
-
Pilih Simpan. Anda dipindahkan ke bagian Pengaturan, dengan Integrasi dipilih.
-
Di bawah Pengaturan, pilih Ke Aplikasi, lalu pilih kotak centang Aktifkan untuk setiap fitur Penyediaan ke Aplikasi yang ingin Anda aktifkan. Untuk tutorial ini, pilih semua opsi.
-
Pilih Simpan.
Anda sekarang siap untuk menyinkronkan pengguna Anda dari Okta dengan Pusat Identitas IAM.
Langkah 4: Okta: Sinkronisasi pengguna dari Okta dengan Pusat Identitas IAM
Secara default, tidak ada grup atau pengguna yang ditetapkan ke Okta Aplikasi Pusat Identitas IAM. Grup penyediaan menyediakan pengguna yang menjadi anggota grup. Selesaikan langkah-langkah berikut untuk menyinkronkan grup dan pengguna dengan AWS IAM Identity Center.
-
Di Okta Halaman aplikasi Pusat Identitas IAM, pilih tab Penugasan. Anda dapat menetapkan orang dan grup ke aplikasi Pusat Identitas IAM.
-
Untuk menugaskan orang:
-
Di halaman Penugasan, pilih Tetapkan, lalu pilih Tetapkan ke orang.
-
Pilih Okta pengguna yang ingin Anda akses ke aplikasi Pusat Identitas IAM. Pilih Tetapkan, pilih Simpan dan Kembali, lalu pilih Selesai.
Ini memulai proses penyediaan pengguna ke IAM Identity Center.
-
-
Untuk menetapkan grup:
-
Di halaman Penugasan, pilih Tetapkan, lalu pilih Tetapkan ke grup.
-
Pilih Okta grup yang ingin Anda akses ke aplikasi Pusat Identitas IAM. Pilih Tetapkan, pilih Simpan dan Kembali, lalu pilih Selesai.
Ini memulai proses penyediaan pengguna dalam grup ke IAM Identity Center.
catatan
Anda mungkin diminta untuk menentukan atribut tambahan untuk grup jika atribut tersebut tidak ada di semua catatan pengguna. Atribut yang ditentukan untuk grup akan mengganti nilai atribut individual apa pun.
-
-
-
Pilih tab Push Groups. Pilih Okta grup yang ingin Anda sinkronkan dengan IAM Identity Center. Pilih Simpan.
Status grup berubah menjadi Aktif setelah grup dan anggotanya didorong ke Pusat Identitas IAM.
-
Kembali ke tab Tugas.
-
Untuk menambahkan individu Okta pengguna ke IAM Identity Center, gunakan langkah-langkah berikut:
-
Di halaman Penugasan, pilih Tetapkan, lalu pilih Tetapkan ke Orang.
-
Pilih Okta pengguna yang ingin Anda akses ke aplikasi Pusat Identitas IAM. Pilih Tetapkan, pilih Simpan dan Kembali, lalu pilih Selesai.
Ini memulai proses penyediaan pengguna individu ke IAM Identity Center.
catatan
Anda juga dapat menetapkan pengguna dan grup ke AWS IAM Identity Center aplikasi, dari halaman Aplikasi Okta admin dashboard. Untuk melakukan ini pilih ikon Pengaturan dan kemudian pilih Tetapkan ke Pengguna atau Tetapkan ke Grup dan kemudian tentukan pengguna atau grup.
-
-
Kembali ke konsol Pusat Identitas IAM. Di navigasi kiri, pilih Pengguna, Anda akan melihat daftar pengguna yang diisi oleh Anda Okta pengguna.
Selamat!
Anda telah berhasil mengatur koneksi SAFL antara Okta dan AWS dan telah memverifikasi bahwa penyediaan otomatis berfungsi. Anda sekarang dapat menetapkan pengguna ini ke akun dan aplikasi di IAM Identity Center. Untuk tutorial ini, pada langkah berikutnya mari kita menunjuk salah satu pengguna sebagai administrator IAM Identity Center dengan memberikan mereka izin administratif ke akun manajemen.
Melewati atribut untuk kontrol akses - Opsional
Anda dapat secara opsional menggunakan Atribut untuk kontrol akses fitur di IAM Identity Center untuk meneruskan Attribute
elemen dengan Name
atribut yang disetel ke. https://aws.amazon.com/SAML/Attributes/AccessControl:
Elemen ini memungkinkan Anda untuk meneruskan atribut sebagai tanda sesi dalam pernyataan SAML. Untuk informasi selengkapnya tentang tag sesi, lihat Melewati tag sesi AWS STS di Panduan Pengguna IAM.{TagKey}
Untuk menyampaikan atribut sebagai tag sesi, sertakan elemen AttributeValue
yang menentukan nilai tag. Misalnya, untuk meneruskan pasangan nilai kunci tagCostCenter = blue
, gunakan atribut berikut.
<saml:AttributeStatement>
<saml:Attribute Name="https://aws.amazon.com/SAML/Attributes/AccessControl:CostCenter">
<saml:AttributeValue>blue
</saml:AttributeValue>
</saml:Attribute>
</saml:AttributeStatement>
Jika Anda perlu menambahkan beberapa atribut, sertakan Attribute
elemen terpisah untuk setiap tag.
Tetapkan akses ke Akun AWS
Langkah-langkah berikut hanya diperlukan untuk memberikan akses ke Akun AWS saja. Langkah-langkah ini tidak diperlukan untuk memberikan akses ke AWS aplikasi.
Langkah 1: Pusat Identitas IAM: Hibah Okta akses pengguna ke akun
-
Di panel navigasi Pusat Identitas IAM, di bawah izin Multi-akun, pilih. Akun AWS
-
Pada Akun AWShalaman, struktur Organisasi menampilkan akar organisasi Anda dengan akun Anda di bawahnya dalam hierarki. Pilih kotak centang untuk akun manajemen Anda, lalu pilih Tetapkan pengguna atau grup.
-
Tampilan alur kerja Tetapkan pengguna dan grup. Ini terdiri dari tiga langkah:
-
Untuk Langkah 1: Pilih pengguna dan grup, pilih pengguna yang akan melakukan fungsi pekerjaan administrator. Lalu pilih Berikutnya.
-
Untuk Langkah 2: Pilih set izin, pilih Buat set izin untuk membuka tab baru yang memandu Anda melalui tiga sub-langkah yang terlibat dalam membuat set izin.
-
Untuk Langkah 1: Pilih jenis set izin lengkapi yang berikut ini:
-
Dalam Jenis set izin, pilih Set izin yang telah ditentukan sebelumnya.
-
Dalam Kebijakan untuk set izin yang telah ditentukan, pilih AdministratorAccess.
Pilih Berikutnya.
-
-
Untuk Langkah 2: Tentukan detail set izin, pertahankan pengaturan default, dan pilih Berikutnya.
Pengaturan default membuat set izin bernama
AdministratorAccess
dengan durasi sesi diatur ke satu jam. -
Untuk Langkah 3: Tinjau dan buat, verifikasi bahwa jenis set Izin menggunakan kebijakan AWS terkelola AdministratorAccess. Pilih Buat. Pada halaman Set izin, pemberitahuan muncul memberi tahu Anda bahwa set izin telah dibuat. Anda dapat menutup tab ini di browser web Anda sekarang.
Pada tab Tetapkan pengguna dan grup browser, Anda masih pada Langkah 2: Pilih set izin dari mana Anda memulai alur kerja set izin buat.
Di area set Izin, pilih tombol Refresh. Set
AdministratorAccess
izin yang Anda buat muncul dalam daftar. Pilih kotak centang untuk set izin tersebut dan kemudian pilih Berikutnya. -
-
Untuk Langkah 3: Tinjau dan kirim, tinjau pengguna yang dipilih dan set izin, lalu pilih Kirim.
Halaman diperbarui dengan pesan bahwa Anda Akun AWS sedang dikonfigurasi. Tunggu sampai proses selesai.
Anda dikembalikan ke Akun AWS halaman. Pesan notifikasi memberi tahu Anda bahwa pesan Anda Akun AWS telah direvisi dan set izin yang diperbarui diterapkan. Saat pengguna masuk, mereka akan memiliki opsi untuk memilih peran.
AdministratorAccess
-
Langkah 2: Okta: Konfirmasikan Okta akses pengguna ke AWS sumber daya
-
Masuk menggunakan akun uji ke Okta dashboard.
-
Di bawah Aplikasi Saya, pilih AWS IAM Identity Center ikon.
-
Anda harus melihat Akun AWS ikonnya. Perluas ikon itu untuk melihat daftar Akun AWS yang dapat diakses pengguna. Dalam tutorial ini Anda hanya bekerja dengan satu akun, jadi memperluas ikon hanya menampilkan satu akun.
-
Pilih akun untuk menampilkan set izin yang tersedia bagi pengguna. Dalam tutorial ini Anda membuat set AdministratorAccessizin.
-
Di samping set izin adalah tautan untuk jenis akses yang tersedia untuk set izin tersebut. Saat Anda membuat set izin, Anda menentukan akses ke akses terprogram AWS Management Console dan akses terprogram. Pilih Konsol manajemen untuk membuka AWS Management Console.
-
Pengguna masuk ke AWS Management Console.
Langkah selanjutnya
Sekarang Anda telah mengkonfigurasi Okta sebagai penyedia identitas dan pengguna yang disediakan di Pusat Identitas IAM, Anda dapat:
-
Berikan akses ke Akun AWS, lihatTetapkan akses pengguna ke Akun AWS.
-
Berikan akses ke aplikasi cloud, lihatTetapkan akses pengguna ke aplikasi di konsol Pusat Identitas IAM.
-
Mengkonfigurasi izin berdasarkan fungsi pekerjaan, lihat Membuat set izin.
Pemecahan Masalah
Untuk pemecahan masalah SCIM dan SAFL umum dengan Okta, lihat bagian berikut:
Penyediaan ulang pengguna dan grup dihapus dari IAM Identity Center
-
Anda dapat menerima pesan galat berikut di Okta Konsol, jika Anda mencoba mengubah pengguna atau grup Okta yang pernah disinkronkan dan kemudian dihapus dari IAM Identity Center:
-
Dorongan profil otomatis pengguna
Jane Doe
ke aplikasi AWS IAM Identity Center gagal: Kesalahan saat mencoba mendorong pembaruan profil untukjane_doe@example.com
: Tidak ada pengguna yang dikembalikan untuk penggunaxxxxx-xxxxxx-xxxxx-xxxxxxx
-
Grup tertaut tidak ada di AWS IAM Identity Center. Ubah grup tertaut untuk melanjutkan mendorong keanggotaan grup.
-
-
Anda juga dapat menerima pesan kesalahan berikut di OktaLog Sistem untuk pengguna atau grup Pusat Identitas IAM yang disinkronkan dan dihapus:
-
Kesalahan Okta: Eventfailed application.provision.user.push_profile: Tidak ada pengguna yang dikembalikan untuk pengguna
xxxxx-xxxxxx-xxxxx-xxxxxxx
-
Kesalahan Okta: application.provision.group_push.mapping.update.or.delete.failed.with.error: Grup tertaut tidak ada di. AWS IAM Identity Center Ubah grup tertaut untuk melanjutkan mendorong keanggotaan grup.
-
Awas
Pengguna dan grup harus dihapus dari Okta daripada Pusat Identitas IAM jika Anda telah menyinkronkan Okta dan Pusat Identitas IAM menggunakan SCIM.
Pemecahan masalah Pengguna Pusat Identitas IAM yang dihapus
Untuk mengatasi masalah ini dengan pengguna Pusat Identitas IAM yang dihapus, pengguna harus dihapus dari Okta. Jika perlu, pengguna ini juga perlu dibuat ulang di Okta. Saat pengguna dibuat ulang di Okta, itu juga akan direvisi menjadi IAM Identity Center melalui SCIM. Untuk informasi selengkapnya tentang menghapus pengguna, lihat Okta dokumentasi
catatan
Jika Anda perlu menghapus Okta akses pengguna ke Pusat Identitas IAM, Anda harus terlebih dahulu menghapusnya dari Push Grup mereka dan kemudian Grup Penugasan mereka di Okta. Ini memastikan pengguna dihapus dari keanggotaan grup terkait mereka di IAM Identity Center. Untuk informasi selengkapnya tentang pemecahan masalah Group Push, lihat Okta dokumentasi
Pemecahan masalah Grup Pusat Identitas IAM yang dihapus
Untuk mengatasi masalah ini dengan grup Pusat Identitas IAM yang dihapus, grup harus dihapus dari Okta. Jika perlu, grup ini juga perlu dibuat ulang di Okta menggunakan Group Push. Ketika pengguna dibuat ulang di Okta, itu juga akan direvisi ke Pusat Identitas IAM melalui SCIM. Untuk informasi selengkapnya tentang menghapus grup, lihat dokumentasi Okta
Kesalahan Penyediaan Otomatis di Okta
Jika Anda menerima pesan galat berikut di Okta:
Penyediaan otomatis pengguna Jane Doe ke aplikasi AWS IAM Identity Center gagal: Pengguna yang cocok tidak ditemukan
Lihat Okta dokumentasi
Sumber daya tambahan
-
Untuk tips pemecahan masalah SCIM umum, lihat. Memecahkan masalah Pusat Identitas IAM
Sumber daya berikut dapat membantu Anda memecahkan masalah saat Anda bekerja dengan: AWS
AWS re:Post
- Temukan FAQs dan tautkan ke sumber daya lain untuk membantu Anda memecahkan masalah. AWS Support
- Dapatkan dukungan teknis