Configura SageMaker Canvas per i tuoi utenti

Configura il metodo Sign-On per Okta.

1. Accedi al pannello di controllo per amministratori di Okta.

2. Scegli Aggiungi applicazione. Cerca AWS Federazione account.

3. Scegli Aggiungi.

4. Facoltativo: modifica il nome in Amazon SageMaker Canvas.

5. Scegli Next (Successivo).

6. Scegli SAML2.0 come metodo di accesso.

7. Scegli Identity Provider Metadata per aprire il file di metadati. XML Salva il file localmente.

8. Seleziona Fatto.

1. Accedi alla AWS console.

2. Scegli AWS Identity and Access Management (IAM).

3. Scegli Provider di identità.

4. Scegli Crea provider.

5. In Configura provider, specifica quanto segue:

   • Tipo di provider: dall'elenco a discesa, scegli SAML.

   • Nome provider: specifica Okta.

   • Documento con metadati: carica il XML documento che hai salvato localmente dal passaggio 7 di. Aggiungi l'applicazione SageMaker Canvas a Okta

6. Trova il tuo provider di identità in Provider di identità. Copia il ARN valore del relativo fornitore.

7. Per Ruoli, scegli il IAM ruolo che stai utilizzando per l'SSOaccesso a Okta.

8. In Relazione di fiducia per il IAM ruolo, scegli Modifica relazione di fiducia.

9. Modifica la politica della relazione di IAM fiducia specificando il ARN valore del fornitore che hai copiato e aggiungi la seguente politica:

   
   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Federated": "arn:aws:iam::123456789012:saml-provider/Okta"
         },
         "Action": [
           "sts:AssumeRoleWithSAML",
           "sts:SetSourceIdentity",
           "sts:TagSession"
         ],
         "Condition": {
           "StringEquals": {
             "SAML:aud": "https://signin.aws.amazon.com/saml"
           }
         }
       }
     ]
   } 
     

10. In Autorizzazioni, aggiungi la policy seguente:

    
    {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "AmazonSageMakerPresignedUrlPolicy",
               "Effect": "Allow",
               "Action": [
                    "sagemaker:CreatePresignedDomainUrl",
                    "sagemaker:CreatePresignedDomainUrlWithPrincipalTag"
               ],
               "Resource": "*"
          }
      ]
    }
      

Per configurare Amazon SageMaker Canvas per l'utilizzo di Okta, segui i passaggi in questa sezione. È necessario specificare nomi utente univoci per ogni SageMakerStudioProfileNamecampo. Ad esempio, puoi utilizzare user.login come valore. Se il nome utente è diverso dal nome del profilo SageMaker Canvas, scegli un attributo identificativo univoco diverso. Ad esempio, puoi utilizzare il numero di un ID dipendente per il nome del profilo.

Per un esempio di valori che è possibile impostare in Attributi, consulta il codice che segue la procedura.

1. In Directory, scegli Gruppi.

2. Aggiungi un gruppo come da schema seguente: sagemaker#canvas#IAM-role#AWS-account-id.

3. In Okta, apri la configurazione dell’integrazione dell'applicazione AWS Federazione account.

4. Seleziona Accedi per l'applicazione AWS Account Federation.

5. Scegli Modifica e specifica quanto segue:

   • SAML2.0

   • Stato di inoltro predefinito: https://Region.console.aws.amazon.com/sagemaker/home? region=Region#/studio/tela/apri/StudioId. Puoi trovare lo Studio Classic ID nella console: https://console.aws.amazon.com/sagemaker/

6. Scegli Attributi.

7. Nei SageMakerStudioProfileNamecampi, specifica valori univoci per ogni nome utente. I nomi utente devono corrispondere ai nomi utente che hai creato nella console AWS .

   
   Attribute 1:
   Name: https://aws.amazon.com/SAML/Attributes/PrincipalTag:SageMakerStudioUserProfileName 
   Value: ${user.login}
   
   Attribute 2:
   Name: https://aws.amazon.com/SAML/Attributes/TransitiveTagKeys
   Value: {"SageMakerStudioUserProfileName"}
      

8. Seleziona Tipo di ambiente. Scegli Normale AWS.

   • Se il tipo di ambiente non è elencato, puoi impostarlo ACS URL nel ACSURLcampo. Se il tipo di ambiente in uso è presente nell'elenco, non è necessario immettere il ACS URL

9. Per Identity Provider ARN, specificare quello utilizzato nel passaggio 6 della procedura precedente. ARN

10. Specifica una durata della sessione.

11. Scegli Collega tutti i ruoli.

12. Attiva Usa la mappatura dei gruppi specificando i seguenti campi:

    • Filtro dell’app: okta

    • Filtro del gruppo: ^aws\#\S+\#(?IAM-role[\w\-]+)\#(?accountid\d+)$

    • Modello del valore del ruolo: arn:aws:iam::$accountid:saml-provider/Okta,arn:aws:iam::$accountid:role/IAM-role

13. Scegli Salva/Successivo.

14. In Assegnazioni, assegna l'applicazione al gruppo che hai creato.