Creare un ruolo per una federazione SAML 2.0 (console)

Prima di creare un ruolo per la federazione basata su SAML, devi creare un provider SAML in IAM. Per ulteriori informazioni, consulta Creare un provider di identità SAML in IAM.

Prepara le policy per il ruolo che verrà assunto dagli utenti autenticati con SAML 2.0. Come qualsiasi altro ruolo, anche i ruoli per la federazione SAML includono due policy. Una è la policy di attendibilità del ruolo, che specifica chi può assumere il ruolo. L'altra è la politica di autorizzazione IAM che specifica le AWS azioni e le risorse a cui l'utente federato può o negato l'accesso.

Al momento della creazione della policy di attendibilità per il ruolo, devi utilizzare tre valori che garantiscono che solo la tua applicazione possa assumere il ruolo:

L'esempio seguente mostra una policy di affidabilità concepita per un utente federato SAML:

{
    "Version": "2012-10-17",
    "Statement": {
      "Effect": "Allow",
      "Action": "sts:AssumeRoleWithSAML",
      "Principal": {"Federated": "arn:aws:iam::account-id:saml-provider/PROVIDER-NAME"},
      "Condition": {"StringEquals": {"SAML:aud": "https://region-code.signin.aws.amazon.com/saml"}}
    }
  }

Sostituisci l'ARN principale con l'ARN effettivo del provider SAML, creato in IAM. L'ARN include l'ID account e il nome del provider.

Accedi AWS Management Console e apri la console IAM all'indirizzo https://console.aws.amazon.com/iam/.

Nel pannello di navigazione della console IAM, scegli Ruoli e quindi Crea ruolo.

Selezionare il tipo di ruolo SAML 2.0 federation (Federazione SAML 2.0).

In Select a SAML provider (Seleziona un gestore dell'identità digitale SAML), scegli il gestore per il ruolo.

Selezionare il metodo di livello di accesso SAML 2.0.

I due comandi sono simili, ma il ruolo che può essere assunto anche tramite console include una policy di affidabilità con una condizione particolare. Questa condizione garantisce esplicitamente che il pubblico SAML (SAML:audattributo) sia impostato sull'endpoint di AWS accesso per il tuo provider SAML.

La procedura per definire gli attributi varia a seconda del tipo di accesso.

• Se si sta creando un ruolo per l'accesso programmatico, scegliere un attributo dall'elenco Attributo. Dopodiché, nella casella Value (Valore), inserisci un valore da includere nel ruolo. In questo modo, l'accesso al ruolo viene limitato agli utenti dal provider di identità la cui risposta di autenticazione SAML (asserzione) includa gli attributi specificati. Per fare in modo che il ruolo sia limitato a un sottoinsieme di utenti all'interno dell'organizzazione, specificare almeno un attributo.

• Se stai creando un ruolo per la programmazione e AWS Management Console l'accesso, la sezione Endpoint di accesso definisce l'URL visualizzato dal browser quando accedi alla console. Questo endpoint è l'attributo destinatario SAML del tuo provider di identità, che corrisponde alla chiave di contesto. saml:aud Per ulteriori informazioni, consulta Configurare le asserzioni SAML per la risposta di autenticazione.

  1. Scegli endpoint regionali o endpoint non regionali. Ti consigliamo di utilizzare più endpoint di accesso SAML regionali per migliorare la resilienza della federazione.

  2. Per le regioni, scegli le regioni supportate dal tuo provider SAML per l'accesso. AWS

  3. Affinché l'accesso URLs includa identificatori univoci, seleziona se gli endpoint di accesso includono gli AWS identificatori univoci assegnati al tuo provider di identità SAML. Questa opzione è necessaria per le asserzioni SAML crittografate. Per ulteriori informazioni, consulta Federazione SAML 2.0.

Per aggiungere ulteriori condizioni relative agli attributi alla policy di attendibilità, scegli Condition (optional) (Condizione [facoltativo]), seleziona la condizione aggiuntiva e specifica un valore.

Verifica le informazioni di attendibilità di SAML 2.0, quindi scegli Next (Successivo).

IAM include un elenco delle politiche AWS gestite e gestite dai clienti nel tuo account. Seleziona la policy delle autorizzazioni da utilizzare o scegli Create policy (Crea policy) per aprire una nuova scheda del browser e creare una nuova policy da zero. Per ulteriori informazioni, consulta Creazione di policy IAM. Una volta creata la policy, chiudere la scheda e tornare alla scheda originale. Selezionare la casella di controllo accanto alle policy di autorizzazione che si desidera abbiano gli utenti federati OIDC. È anche possibile non selezionare le policy ora e collegarle al ruolo in un secondo momento. Per default, un ruolo non dispone di autorizzazioni.

(Facoltativo) Impostare un limite delle autorizzazioni. Questa è una caratteristica avanzata.

Apri la sezione Permissions boundary (Limite delle autorizzazioni) e scegli Use a permissions boundary to control the maximum role permissions (Usa un limite delle autorizzazioni per controllare il numero massimo di autorizzazioni del ruolo). Selezionare la policy da utilizzare per il limite delle autorizzazioni.

Scegli Next (Successivo).

Scegli Prossimo: Rivedi.

In Role name, (Nome ruolo), inserisci un nome. I nomi dei ruoli devono essere univoci all'interno del tuo Account AWS. Non fanno distinzione tra maiuscole e minuscole. Ad esempio, non è possibile creare ruoli denominati sia PRODROLE che prodrole. Poiché altre AWS risorse potrebbero fare riferimento al ruolo, non è possibile modificare il nome del ruolo dopo che è stato creato.

(Facoltativo) In Description (Descrizione), inserisci una descrizione per il nuovo ruolo.

Scegli Edit (Modifica) nelle sezioni Step 1: Select trusted entities (Fase 1: seleziona le entità attendibili) o Step 2: Add permissions (Fase 2: aggiungi autorizzazioni) per modificare i casi d'uso e le autorizzazioni per il ruolo.

(Facoltativo) Aggiungere metadati al ruolo collegando i tag come coppie chiave-valore. Per ulteriori informazioni sull'utilizzo dei tag in IAM, consultare Tag per risorse AWS Identity and Access Management.

Rivedere il ruolo e scegliere Crea ruolo.