튜토리얼: Amazon QuickSight 및 IAM 자격 증명 페더레이션

Okta 대시보드에 로그인하십시오. 계정이 없는 경우 이 QuickSight 브랜드 URL을 사용하여 무료 Okta 개발자 에디션 계정을 만드세요. 이메일을 활성화했으면 Okta에 로그인하세요.

Okta 웹 사이트의 왼쪽 상단에 있는 <> 개발자 콘솔을 선택한 다음 클래식 UI를 선택합니다.

애플리케이션 추가를 선택하고 앱 추가를 선택합니다.

검색에 aws을(를) 입력하고 검색 결과에서 AWS 계정 페더레이션을 선택합니다.

추가를 선택하여 이 애플리케이션의 인스턴스를 생성합니다.

애플리케이션 라벨에 AWS Account Federation - QuickSight을(를) 입력합니다.

Next(다음)를 선택합니다.

SAML 2.0, 기본 릴레이 상태의 경우 https://quicksight.aws.amazon.com을(를) 입력합니다.

Identity Provider 메타데이터의 컨텍스트(마우스 오른쪽 버튼 클릭) 메뉴를 열고 파일을 저장하도록 선택합니다. 파일 이름을 metadata.xml로 지정합니다. 다음 절차에서 이 파일이 필요합니다.

파일 콘텐츠는 다음과 비슷합니다.

<md:EntityDescriptor xmlns:md="urn:oasis:names:tc:SAML:2.0:metadata" entityID="http://www.okta.com/exkffz2hATwiVft645d5">
    <md:IDPSSODescriptor WantAuthnRequestsSigned="false" protocolSupportEnumeration="urn:oasis:names:tc:SAML:2.0:protocol">
    <md:KeyDescriptor use="signing">
        <ds:KeyInfo xmlns:ds="http://www.w3.org/2000/09/xmldsig#">
        <ds:X509Data>
            <ds:X509Certificate>
            MIIDpjCCAo6gAwIBAgIGAXVjA82hMA0GCSqGSIb3DQEBCwUAMIGTMQswCQYDVQQGEwJVUzETMBEG 
            . 
            .        (certificate content omitted)
            . 
            QE/6cRdPQ6v/eaFpUL6Asd6q3sBeq+giRG4=
            </ds:X509Certificate>
        </ds:X509Data>
        </ds:KeyInfo>
    </md:KeyDescriptor>
    <md:NameIDFormat>urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress</md:NameIDFormat>
    <md:NameIDFormat>urn:oasis:names:tc:SAML:2.0:nameid-format:unspecified</md:NameIDFormat>
    <md:SingleSignOnService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" Location="https://dev-1054988.okta.com/app/amazon_aws/exkffz2hATwiVft645d5/sso/saml"/>
    <md:SingleSignOnService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect" Location="https://dev-1054988.okta.com/app/amazon_aws/exkffz2hATwiVft645d5/sso/saml"/>
    </md:IDPSSODescriptor>
    </md:EntityDescriptor>

XML 파일을 저장한 후 Okta 페이지 하단으로 스크롤하여 완료를 선택합니다.

가능하면 이 브라우저 창을 열어 두십시오. 이는 나중에 이 튜토리얼에서 필요합니다.

에 로그인 AWS Management Console 하고 https://console.aws.amazon.com/iam/ IAM 콘솔을 엽니다.

탐색 창에서 자격 증명 공급자, 공급자 생성을 선택합니다.

다음 설정을 입력합니다.

다음 단계, 생성을 선택합니다.

생성한 IdP를 찾아 선택하여 설정을 확인합니다. 제공자 ARN을 기록해 둡니다. 이는 튜토리얼을 완료하는 데 필요합니다.

설정을 사용하여 ID 공급자가 생성되었는지 확인하십시오. IAM에서 ID 공급자, Okta(추가한 IdP), 메타데이터 다운로드를 선택합니다. 파일은 최근에 업로드한 파일이어야 합니다.

에 로그인 AWS Management Console 하고 https://console.aws.amazon.com/iam/ IAM 콘솔을 엽니다.

탐색 창에서 역할, 역할 생성을 선택합니다.

신뢰할 수 있는 엔터티 유형 선택에서 카드가 레이블 지정된 SAML 2.0 페더레이션을 선택합니다.

SAML 제공자의 경우 이전 절차에서 생성한 IdP를 선택합니다(예: Okta).

프로그래밍 방식 및 AWS 관리 콘솔 액세스 허용 옵션을 활성화합니다.

다음: 권한을 선택합니다.

다음 정책을 편집기에 붙여넣습니다.

정책 편집기에서 JSON을 공급자의 Amazon 리소스 이름(ARN)로 업데이트합니다.

{
    "Version": "2012-10-17",
    "Statement": [
    {
        "Effect": "Allow",
        "Action": "sts:AssumeRoleWithSAML",
        "Resource": "arn:aws:iam::111111111111:saml-provider/Okta",
        "Condition": {
        "StringEquals": {
            "saml:aud": "https://signin.aws.amazon.com/saml"
        }
        }
    }
    ]
    }

정책 검토를 선택합니다.

이름의 경우, QuicksightOktaFederatedPolicy을(를) 입력한 후 정책 생성을 선택합니다.

정책 생성을 선택하고 JSON을 두 번째로 선택합니다.

다음 정책을 편집기에 붙여넣습니다.

정책 편집기에서 JSON을 AWS 계정 ID로 업데이트합니다. 공급자 ARN의 이전 정책에서 사용한 것과 동일한 계정 ID여야 합니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "quicksight:CreateReader"
            ],
            "Effect": "Allow",
            "Resource": [
                "arn:aws:quicksight::111111111111:user/${aws:userid}"
            ]
        }
    ]
    }

다음과 같이 ARN에서 AWS 리전 이름을 생략할 수 있습니다.

arn:aws:quicksight::111111111111:user/$${aws:userid}

정책 검토를 선택합니다.

이름의 경우, QuicksightCreateReader을(를) 입력한 후 정책 생성을 선택합니다.

오른쪽에 있는 새로 고침 아이콘을 선택하여 정책 목록을 새로 고칩니다.

검색에 QuicksightOktaFederatedPolicy을(를) 입력합니다. 정책을 선택하여 이것( )을 활성화합니다.

자동 프로비저닝을 사용하지 않으려면 다음 단계를 건너 뛸 수 있습니다.

QuickSight 사용자를 추가하려면 사용자 등록을 사용하십시오. QuickSight 그룹을 추가하려면 그룹 생성을 사용하십시오. QuickSight 그룹에 사용자를 추가하려면 create-group-membership을 사용하십시오.

(선택 사항) 검색에서 QuicksightCreateReader을(를) 입력합니다. 정책을 선택하여 이것( )을 활성화합니다.

QuickSight API를 사용하는 대신 QuickSight 사용자를 자동으로 프로비전하려면 이 단계를 수행하십시오.

QuicksightCreateReader 정책은 quicksight:CreateReader 작업 사용을 허용하여 자동 프로비저닝을 활성화합니다. 이렇게 하면 처음 사용하는 사용자에게 대시보드 구독자(독자 수준) 액세스 권한이 부여됩니다. QuickSight 관리자는 나중에 QuickSight 프로필 메뉴인 QuickSight 관리, 사용자 관리에서 이를 업그레이드할 수 있습니다.

IAM 정책 또는 정책을 계속 연결하려면 다음: 태그를 선택합니다.

다음: 검토를 선택합니다.

역할 이름에 QuicksightOktaFederatedRole을(를) 입력한 다음 역할 생성을 선택합니다.

다음 단계를 수행하여 이 작업을 성공적으로 완료했는지 확인하십시오.

1. https://console.aws.amazon.com/iam/에서 IAM 콘솔의 메인 페이지로 돌아갑니다. 브라우저의 뒤로 버튼을 사용할 수 있습니다.

2. 역할을 선택합니다.

3. 검색에 Okta를 입력합니다. 검색 결과에서 QuicksightOktaFederatedRole을 선택합니다.

4. 정책의 요약 페이지에서 권한 탭을 살펴보십시오. 역할에 연결한 정책 또는 정책이 있는지 확인하십시오. QuicksightOktaFederatedPolicy이(가) 있어야 합니다. 사용자 생성 기능을 추가하기로 선택했다면 QuicksightCreateReader을(를) 추가해야 합니다.

5. 아이콘을 사용하여 각 정책을 엽니다. 텍스트가 이 절차에 표시된 내용과 일치하는지 확인하십시오. 예제 계정 AWS 계정 번호 111111111111 대신 자신의 번호를 추가했는지 다시 확인합니다.

6. 신뢰 관계 탭에서 신뢰할 수 있는 엔티티 필드에 ID 제공자에 대한 ARN이 포함되어 있는지 확인합니다. ID 제공자, Okta를 열어 IAM 콘솔에서 ARN을 다시 확인할 수 있습니다.

에 로그인 AWS Management Console 하고 https://console.aws.amazon.com/iam/ IAM 콘솔을 엽니다.

Okta가 IAM 역할 목록을 사용자에게 표시할 수 있도록 허용하는 정책을 추가합니다. 이렇게 하려면 정책, 정책 생성을 선택합니다.

JSON을 선택하고 다음 정책을 입력합니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iam:ListRoles",
                "iam:ListAccountAliases"
            ],
            "Resource": "*"
        }
    ]
    }

정책 검토를 선택합니다.

이름(Name)에 OktaListRolesPolicy을(를) 입력합니다. 그런 다음 정책 생성을 선택합니다.

Okta에 액세스 키를 제공할 수 있도록 사용자를 추가합니다.

탐색 창에서 사용자를 선택한 다음 사용자 추가를 선택합니다.

다음 설정을 사용합니다.

다음: 권한을 선택합니다.

기존 정책 직접 첨부를 선택합니다.

검색에 OktaListRolesPolicy을(를) 입력하고 검색 결과에서 OktaListRolesPolicy를 선택합니다.

Next: Tags(다음: 태그)를 선택한 후 Next: Review(다음: 검토)를 선택합니다.

사용자 생성을 선택합니다. 이제 액세스 키를 가져올 수 있습니다.

.csv 다운로드를 선택하여 키 파일을 다운로드합니다. 이 파일에는 이 화면에 표시되는 것과 동일한 액세스 키 ID 및 보안 액세스 키가 포함되어 있습니다. 그러나 AWS 는이 정보를 두 번째로 표시하지 않으므로 파일을 다운로드해야 합니다.

다음 작업을 수행하여 이 단계를 올바르게 완료했는지 확인하십시오.

1. IAM 콘솔을 열고 사용자를 선택합니다. OktaSSOUser를 검색하고 검색 결과에서 사용자 이름을 선택하여 엽니다.

2. 권한 탭에서 OktaListRolesPolicy가 연결되어 있는지 확인합니다.

3. 아이콘을 사용하여 정책을 엽니다. 텍스트가 이 절차에 표시된 내용과 일치하는지 확인하십시오.

4. 이미 다운로드한 액세스 키는 안전 보안 인증 정보 탭에서 확인할 수 있습니다. 새 액세스 키가 필요할 때 이 탭으로 돌아가서 액세스 키를 만들 수 있습니다.

Okta 대시보드로 돌아가십시오. 요청을 받으면 로그인하세요. 개발자 콘솔이 더 이상 열려 있지 않으면 관리를 선택하여 다시 여십시오.

Okta를 다시 열어야 하는 경우 다음 단계에 따라 이 섹션으로 돌아갈 수 있습니다.

1. Okta에 로그인하십시오. [Applications]를 선택합니다.

2. 이 튜토리얼의 시작 부분에서 만든 애플리케이션인 AWS 계정 페더레이션 - QuickSight를 선택합니다.

3. 일반 및 모바일 사이에서 로그온 탭을 선택합니다.

고급 사인온 설정으로 스크롤합니다.

ID 제공자 ARN(SAML IAM 페더레이션에만 필요)의 경우 이전 절차의 제공자 ARN을 입력합니다. 예를 들면 다음과 같습니다.

arn:aws:iam::111122223333:saml-provider/Okta

완료 또는 저장을 선택합니다. 버튼 이름은 애플리케이션을 생성하는지 또는 편집하는지에 따라 달라집니다.

프로비저닝 탭을 선택하고 탭 하단에서 API 통합 구성을 선택합니다.

API 통합 활성화를 켜서 설정을 표시합니다.

액세스 키 및 보안 암호 키의 경우 이전에 다운로드한 액세스 키와 보안 암호 키를 이름이 OktaSSOUser_credentials.csv(으)로 지정된 파일에 제공하십시오

테스트 API 보안 인증을 선택합니다. API 통합 활성화 설정 위에서 AWS 계정 페더레이션이 성공적으로 확인되었음을 확인하는 메시지를 확인합니다.

저장(Save)을 선택합니다.

왼쪽에 앱으로가 강조 표시되어 있는지 확인하고 오른쪽에서 편집을 선택합니다.

사용자 생성에서 활성화 옵션을 켜십시오.

저장(Save)을 선택합니다.

할당 탭의 프로비저닝 및 가져오기 근처에서 할당을 선택합니다.

페더레이션 액세스를 활성화하려면 다음 중 하나 이상을 수행하십시오.

각 IAM 사용자 또는 그룹에 대해 다음 사항을 수행합니다.

1. 할당, 역할을 선택합니다.

2. IAM 역할 목록에서 QuicksightOktaFederatedRole을 선택합니다.

3. SAML 사용자 역할의 경우 QuicksightOktaFederatedRole을 활성화합니다.

저장 후 뒤로 이동을 선택한 다음 완료를 선택합니다.

왼쪽의 사람 또는 그룹 필터를 선택하고 입력한 사용자 또는 그룹을 확인하여 이 단계를 올바르게 완료했는지 확인하십시오. 생성한 역할이 목록에 표시되지 않아 이 프로세스를 완료할 수 없는 경우 이전 절차로 돌아가 설정을 확인하십시오.

Okta 관리자 계정을 사용하는 경우 사용자 모드로 전환하세요.

페더레이션 액세스 권한이 부여된 사용자로 Okta 애플리케이션 대시보드에 로그인하십시오. AWS 계정 연동 - QuickSight와 같이 레이블이 있는 새 애플리케이션이 표시되어야 합니다.

애플리케이션 아이콘을 선택하여 AWS 계정 페더레이션 - QuickSight를 시작합니다.

QuickSight를 열고 프로필 메뉴에서 QuickSight 관리를 선택합니다.

탐색 창에서 싱글 사인온(IAM 페더레이션)을 선택합니다.

구성 IdP URL에 IdP가 사용자 인증을 위해 제공하는 URL(예: https://dev-1-----0.okta.com/home/amazon_aws/0oabababababaGQei5d5/282)을 입력합니다. Okta 앱 페이지의 일반 탭에 있는 임베드 링크에서 확인할 수 있습니다.

IdP URL의 경우 RelayState을(를) 입력합니다.

다음 중 하나를 수행합니다.

상태에서 켜기를 선택합니다.

설정을 유지하려면 저장을 선택합니다.

튜토리얼 시작 부분에서 다운로드한 metadata.xml 파일에서 Okta 애플리케이션의 싱글 사인온(IAM 페더레이션) URL을 찾습니다. 파일 하단의 md:SingleSignOnService(이)라는 이름이 지정된 요소에서 URL을 찾을 수 있습니다. 다음 예제에서와 같이 속성의 Location(이)라는 이름이 지정되고 값이 /sso/saml(으)로 끝납니다.

<md:SingleSignOnService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect" Location="https://dev-0000001.okta.com/app/amazon_aws/abcdef2hATwiVft645d5/sso/saml"/>

IAM 페더레이션 URL의 값을 가져와 QuickSight 대시보드의 URL을 ?RelayState= 뒤에 추가합니다. RelayState 파라미터는 사용자가 인증 URL로 리디렉션되었을 때의 상태(URL)를 전달합니다.

릴레이 상태가 추가된 새 IAM 페더레이션에 QuickSight 대시보드의 URL을 추가합니다. 결과는 다음과 비슷해야 합니다.

https://dev-1-----0.okta.com/app/amazon_aws/abcdef2hATwiVft645d5/sso/saml?RelayState=https://us-west-2.quicksight.aws.amazon.com/sn/analyses/12a12a2a-121a-212a-121a-abcd12abc1ab

생성한 링크가 열리지 않는 경우 metadata.xml에서 제공하는 최신 IAM 페더레이션 URL을 사용하고 있는지 확인하십시오. 또한 로그인하는 데 사용하는 사용자 이름이 두 개 이상의 IAM 페더레이션 Okta 앱에 할당되지 않았는지 확인합니다.