Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
Considerazioni sulla modifica della fonte di identità
Sebbene sia possibile modificare l'origine dell'identità in qualsiasi momento, ti consigliamo di considerare in che modo questa modifica potrebbe influire sulla distribuzione corrente.
Se stai già gestendo utenti e gruppi in un'unica origine di identità, il passaggio a un'origine di identità diversa potrebbe rimuovere tutte le assegnazioni di utenti e gruppi che hai configurato in IAM Identity Center. In tal caso, tutti gli utenti, incluso l'utente amministrativo in IAM Identity Center, perderanno l'accesso Single Sign-on alle proprie Account AWS applicazioni.
Prima di modificare l'origine dell'identità per IAM Identity Center, rivedi le seguenti considerazioni prima di procedere. Se desideri procedere con la modifica della fonte di identità, consulta Cambia la fonte della tua identità per ulteriori informazioni.
Passaggio dalla directory IAM Identity Center a Active Directory
Se stai già gestendo utenti e gruppi in Active Directory, ti consigliamo di considerare la possibilità di connettere la tua directory quando abiliti IAM Identity Center e scegli la fonte della tua identità. Fatelo prima di creare utenti e gruppi nella directory predefinita di Identity Center e di effettuare qualsiasi assegnazione.
Importante
Quando modifichi il tipo di origine dell'identità in IAM Identity Center da o verso Active Directory, tieni presente che l'Identity Store ID cambierà. Ciò può avere le seguenti implicazioni:
-
L'URL predefinito del portale di AWS accesso cambierà. Dovrai comunicare il nuovo URL alla tua forza lavoro e aggiornare i segnalibri, gli elenchi di autorizzazione del gateway o del firewall e le configurazioni in cui viene fatto riferimento a questo URL. Ti consigliamo di eseguire questa modifica in una finestra di manutenzione programmata per ridurre al minimo le interruzioni per gli utenti.
-
Se stai utilizzando una chiave KMS gestita dal cliente per la crittografia inattiva in IAM Identity Center e hai configurato la policy delle chiavi KMS con il contesto di crittografia, tieni presente che il contesto di crittografia per l'Identity Store cambierà. Ad esempio, nell'Identity Store ARN «arn:aws:identitystore: :123456789012: identitystore/d -922763e9b3", «d-922763e9b3" è l'ID dell'Identity Store. Per evitare interruzioni del servizio durante questa transizione, modifica temporaneamente la politica delle chiavi del KMS utilizzando uno schema jolly: «arn:aws:identitystore: :123456789012:identitystore/*».
Se gestisci già utenti e gruppi nella directory predefinita di Identity Center, considera quanto segue:
-
Assegnazioni rimosse e utenti e gruppi eliminati: la modifica della fonte di identità in Active Directory elimina gli utenti e i gruppi dalla directory di Identity Center. Questa modifica rimuove anche le assegnazioni. In questo caso, dopo il passaggio ad Active Directory, è necessario sincronizzare gli utenti e i gruppi da Active Directory nella directory di Identity Center e quindi riapplicare le relative assegnazioni.
Se si sceglie di non utilizzare Active Directory, è necessario creare utenti e gruppi nella directory di Identity Center e quindi effettuare le assegnazioni.
-
Le assegnazioni non vengono eliminate quando le identità vengono eliminate: quando le identità vengono eliminate nella directory Identity Center, le assegnazioni corrispondenti vengono eliminate anche in IAM Identity Center. Tuttavia, in Active Directory, quando le identità vengono eliminate (in Active Directory o nelle identità sincronizzate), le assegnazioni corrispondenti non vengono eliminate.
-
Nessuna sincronizzazione in uscita per le API: se utilizzi Active Directory come origine di identità, ti consigliamo di utilizzare le API Create, Update ed Delete con cautela. IAM Identity Center non supporta la sincronizzazione in uscita, quindi l'origine dell'identità non si aggiorna automaticamente con le modifiche apportate agli utenti o ai gruppi che utilizzano queste API.
-
L'URL del portale di accesso cambierà: la modifica della fonte di identità tra IAM Identity Center e Active Directory modifica anche l'URL del portale di accesso. AWS
-
Se gli utenti vengono eliminati o disabilitati nella console IAM Identity Center utilizzando le API Identity Store, gli utenti con sessioni attive possono continuare ad accedere alle applicazioni e agli account integrati. Per informazioni sulla durata della sessione di autenticazione e sul comportamento degli utenti, consultaComprendere le sessioni di autenticazione in IAM Identity Center.
-
Multi-Region supporto: se hai replicato IAM Identity Center in regioni aggiuntive o intendi farlo, devi utilizzare un provider di identità esterno o la directory dell'Identity Center come origine dell'identità. Multi-Region il supporto non è disponibile per Active Directory. Per ulteriori informazioni, inclusi altri prerequisiti, vedereUtilizzo di IAM Identity Center su più Regioni AWS.
Per informazioni su come IAM Identity Center effettua il provisioning di utenti e gruppi, consultaMicrosoft AD directory.
Passaggio da IAM Identity Center a un IdP esterno
Se cambi la tua fonte di identità da IAM Identity Center a un provider di identità (IdP) esterno, considera quanto segue:
-
Le assegnazioni e le appartenenze funzionano con asserzioni corrette: le assegnazioni degli utenti, le assegnazioni di gruppo e le appartenenze ai gruppi continuano a funzionare finché il nuovo IdP invia le asserzioni corrette (ad esempio, i nameID SAML). Queste asserzioni devono corrispondere ai nomi utente e ai gruppi in IAM Identity Center.
-
Nessuna sincronizzazione in uscita: IAM Identity Center non supporta la sincronizzazione in uscita, quindi il tuo IdP esterno non si aggiornerà automaticamente con le modifiche apportate agli utenti e ai gruppi in IAM Identity Center.
-
Provisioning SCIM: se utilizzi il provisioning SCIM, le modifiche agli utenti e ai gruppi nel tuo provider di identità si riflettono solo in IAM Identity Center dopo che il tuo provider di identità ha inviato tali modifiche a IAM Identity Center. Per informazioni, consulta Considerazioni sull'utilizzo del provisioning automatico.
-
Rollback: puoi ripristinare l'origine della tua identità utilizzando IAM Identity Center in qualsiasi momento. Per informazioni, consulta Passaggio da un IdP esterno a IAM Identity Center.
-
Le sessioni utente esistenti vengono revocate alla scadenza della durata della sessione: una volta modificata la fonte di identità con un provider di identità esterno, le sessioni utente attive persistono per il resto della durata massima della sessione configurata nella console. Ad esempio, se la durata della sessione del portale di AWS accesso è impostata su otto ore e hai modificato l'origine dell'identità nella quarta ora, le sessioni utente attive persistono per altre quattro ore. Per revocare le sessioni utente, consulta. Visualizza e termina le sessioni attive per gli utenti della tua forza lavoro
Se gli utenti vengono eliminati o disabilitati nella console IAM Identity Center utilizzando le API Identity Store, gli utenti con sessioni attive possono continuare ad accedere alle applicazioni e agli account integrati. Per informazioni sulla durata della sessione di autenticazione e sul comportamento degli utenti, consultaComprendere le sessioni di autenticazione in IAM Identity Center.
Nota
Non puoi revocare le sessioni utente dalla console IAM Identity Center dopo aver eliminato l'utente.
Per informazioni su come IAM Identity Center effettua il provisioning di utenti e gruppi, consulta. Provider di identità esterni
Passaggio da un IdP esterno a IAM Identity Center
Se cambi la tua fonte di identità da un provider di identità (IdP) esterno a IAM Identity Center, considera quanto segue:
-
IAM Identity Center conserva tutte le tue assegnazioni.
-
Forza la reimpostazione della password: gli utenti che disponevano di password in IAM Identity Center possono continuare ad accedere con le password precedenti. Per gli utenti che si trovavano nell'IdP esterno e non in IAM Identity Center, un amministratore deve forzare la reimpostazione della password.
-
Le sessioni utente esistenti vengono revocate alla scadenza della durata della sessione: una volta modificata l'origine dell'identità in IAM Identity Center, le sessioni utente attive persistono per la durata rimanente della durata massima della sessione configurata nella console. Ad esempio, se la durata della sessione del portale di AWS accesso è di otto ore e hai cambiato l'origine dell'identità alla quarta ora, le sessioni utente attive continuano a essere eseguite per altre quattro ore. Per revocare le sessioni utente, consulta. Visualizza e termina le sessioni attive per gli utenti della tua forza lavoro
Se gli utenti vengono eliminati o disabilitati nella console IAM Identity Center utilizzando le API Identity Store, gli utenti con sessioni attive possono continuare ad accedere alle applicazioni e agli account integrati. Per informazioni sulla durata della sessione di autenticazione e sul comportamento degli utenti, consultaComprendere le sessioni di autenticazione in IAM Identity Center.
Nota
Non potrai revocare le sessioni utente dalla console IAM Identity Center dopo aver eliminato l'utente.
Per informazioni su come IAM Identity Center effettua il provisioning di utenti e gruppi, consulta. Gestione degli utenti nella directory Identity Center
Passaggio da un IdP esterno a un altro IdP esterno
Se stai già utilizzando un IdP esterno come fonte di identità per IAM Identity Center e passi a un IdP esterno diverso, considera quanto segue:
-
Le assegnazioni e le appartenenze funzionano con asserzioni corrette: IAM Identity Center conserva tutte le tue assegnazioni. Le assegnazioni degli utenti, le assegnazioni di gruppo e le appartenenze ai gruppi continuano a funzionare finché il nuovo IdP invia le asserzioni corrette (ad esempio, i nameID SAML).
Queste asserzioni devono corrispondere ai nomi utente in IAM Identity Center quando gli utenti si autenticano tramite il nuovo IdP esterno.
-
Provisioning SCIM: se utilizzi SCIM per il provisioning in IAM Identity Center, ti consigliamo di consultare IdP-specific le informazioni contenute in questa guida e la documentazione fornita dall'IdP per assicurarti che il nuovo provider corrisponda correttamente a utenti e gruppi quando SCIM è abilitato.
-
Le sessioni utente esistenti vengono revocate alla scadenza della durata della sessione: una volta modificata l'origine dell'identità con un altro provider di identità esterno, le sessioni utente attive persistono per la durata rimanente della durata massima della sessione configurata nella console. Ad esempio, se la durata della sessione del portale di AWS accesso è di otto ore e hai modificato l'origine dell'identità alla quarta ora, le sessioni utente attive persistono per altre quattro ore. Per revocare le sessioni utente, consulta. Visualizza e termina le sessioni attive per gli utenti della tua forza lavoro
Se gli utenti vengono eliminati o disabilitati nella console IAM Identity Center utilizzando le API Identity Store, gli utenti con sessioni attive possono continuare ad accedere alle applicazioni e agli account integrati. Per informazioni sulla durata della sessione di autenticazione e sul comportamento degli utenti, consultaComprendere le sessioni di autenticazione in IAM Identity Center.
Nota
Non puoi revocare le sessioni utente dalla console IAM Identity Center dopo aver eliminato l'utente.
Per informazioni su come IAM Identity Center effettua il provisioning di utenti e gruppi, consulta. Provider di identità esterni
Passaggio da Active Directory a un IdP esterno
Se modifichi la tua origine di identità da un IdP esterno ad Active Directory o da Active Directory a un IdP esterno, considera quanto segue:
-
Utenti, gruppi e assegnazioni vengono eliminati: tutti gli utenti, i gruppi e le assegnazioni vengono eliminati da IAM Identity Center. Nessuna informazione sugli utenti o sui gruppi è interessata né nell'IdP esterno né in Active Directory.
-
Assegnazione del provisioning agli utenti: se si passa a un IdP esterno, è necessario configurare IAM Identity Center per il provisioning degli utenti. In alternativa, è necessario effettuare manualmente il provisioning degli utenti e dei gruppi per l'IdP esterno prima di poter configurare le assegnazioni.
-
Creare assegnazioni e gruppi: se si passa ad Active Directory, è necessario creare assegnazioni con gli utenti e i gruppi presenti nella directory in Active Directory.
-
Se gli utenti vengono eliminati o disabilitati nella console IAM Identity Center utilizzando le API Identity Store, gli utenti con sessioni attive possono continuare ad accedere alle applicazioni e agli account integrati. Per informazioni sulla durata della sessione di autenticazione e sul comportamento degli utenti, consultaComprendere le sessioni di autenticazione in IAM Identity Center.
-
Multi-Region supporto: se hai replicato IAM Identity Center in regioni aggiuntive o intendi farlo, devi utilizzare un provider di identità esterno o la directory dell'Identity Center come origine dell'identità. Multi-Region il supporto non è disponibile per Active Directory. Per ulteriori informazioni, inclusi altri prerequisiti, vedereUtilizzo di IAM Identity Center su più Regioni AWS.
Per informazioni su come IAM Identity Center effettua il provisioning di utenti e gruppi, consultaMicrosoft AD directory.
