사용자를 위한 SageMaker Canvas 설정

Okta의 사인온 방법을 설정합니다.

1. Okta 관리자 대시보드에 로그인합니다.

2. 애플리케이션 추가를 선택합니다. AWS 계정 페더레이션을 검색합니다.

3. 추가를 선택합니다.

4. 선택 사항: 이름을 Amazon SageMaker Canvas 로 변경합니다.

5. Next(다음)를 선택합니다.

6. Sign-On 메서드로 SAML 2.0을 선택합니다.

7. Identity Provider Metadata를 선택하여 메타데이터 XML 파일을 엽니다. 파일을 로컬에 저장합니다.

8. 완료를 선택합니다.

1. AWS 콘솔에 로그인합니다.

2. AWS Identity and Access Management (IAM)를 선택합니다.

3. ID 제공자를 선택합니다.

4. 공급자 생성을 선택합니다.

5. 공급자 구성에서 다음을 지정합니다.

   • 공급자 유형 - 드롭다운 목록에서 를 선택합니다SAML.

   • 공급자 이름 - Okta를 지정합니다.

   • 메타데이터 문서 - 의 7단계에서 로컬로 저장한 XML 문서를 업로드합니다Okta에 SageMaker Canvas 애플리케이션 추가.

6. ID 공급자에서 ID 공급자를 찾으세요. 공급자 ARN 값을 복사합니다.

7. 역할 에서 Okta SSO 액세스에 사용 중인 IAM 역할을 선택합니다.

8. IAM 역할에 대한 신뢰 관계에서 신뢰 관계 편집을 선택합니다.

9. 복사한 공급자 ARN 값을 지정하여 IAM 신뢰 관계 정책을 수정하고 다음 정책을 추가합니다.

   
   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Federated": "arn:aws:iam::123456789012:saml-provider/Okta"
         },
         "Action": [
           "sts:AssumeRoleWithSAML",
           "sts:SetSourceIdentity",
           "sts:TagSession"
         ],
         "Condition": {
           "StringEquals": {
             "SAML:aud": "https://signin.aws.amazon.com/saml"
           }
         }
       }
     ]
   } 
     

10. 권한에 대해 다음 정책을 추가합니다.

    
    {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "AmazonSageMakerPresignedUrlPolicy",
               "Effect": "Allow",
               "Action": [
                    "sagemaker:CreatePresignedDomainUrl",
                    "sagemaker:CreatePresignedDomainUrlWithPrincipalTag"
               ],
               "Resource": "*"
          }
      ]
    }
      

Okta를 사용하도록 Amazon SageMaker Canvas를 구성하려면 이 섹션의 단계를 따릅니다. 각 SageMakerStudioProfileName 필드에 고유한 사용자 이름을 지정해야 합니다. 예를 들어 user.login을 값으로 사용할 수 있습니다. 사용자 이름이 SageMaker Canvas 프로필 이름과 다른 경우 고유하게 식별되는 다른 속성을 선택합니다. 예를 들어, 프로필 이름으로 직원의 ID 번호를 사용할 수 있습니다.

속성에 설정할 수 있는 값의 예는 절차 다음의 코드를 참조하세요.

1. 디렉터리에서 그룹을 선택합니다.

2. 다음 sagemaker#canvas#IAM-role#AWS-account-id패턴으로 그룹을 추가합니다.

3. Okta에서 AWS 계정 페더레이션 애플리케이션 통합 구성을 엽니다.

4. AWS Account Federation 애플리케이션에 대한 로그인을 선택합니다.

5. 편집을 선택하고 다음을 지정합니다.

   • SAML 2.0

   • 기본 릴레이 상태 – https://Region.console.aws.amazon.com/sagemaker/home?region=Region#/studio/canvas/open/StudioId. 콘솔에서 Studio Classic ID를 찾을 수 있습니다. https://console.aws.amazon.com/sagemaker/

6. 속성을 선택합니다.

7. SageMakerStudioProfileName 필드에서 각 사용자 이름에 고유한 값을 지정합니다. 사용자 이름은 AWS 콘솔에서 생성한 사용자 이름과 일치해야 합니다.

   
   Attribute 1:
   Name: https://aws.amazon.com/SAML/Attributes/PrincipalTag:SageMakerStudioUserProfileName 
   Value: ${user.login}
   
   Attribute 2:
   Name: https://aws.amazon.com/SAML/Attributes/TransitiveTagKeys
   Value: {"SageMakerStudioUserProfileName"}
      

8. 환경 유형을 선택합니다. 일반 AWS을 선택합니다.

   • 환경 유형이 나열되지 않은 경우 ACS URL 필드에서 ACS URL 를 설정할 수 있습니다. 환경 유형이 나열된 경우 ACS URL

9. 자격 증명 공급자 ARN의 경우 이전 절차의 6단계에서 ARN 사용한 를 지정합니다.

10. 세션 기간을 지정합니다.

11. 모든 역할 참여를 선택합니다.

12. 다음 필드를 지정하여 그룹 매핑 사용을 활성화합니다.

    • 앱 필터 – okta

    • 그룹 필터 – ^aws\#\S+\#(?IAM-role[\w\-]+)\#(?accountid\d+)$

    • 역할 값 패턴 – arn:aws:iam::$accountid:saml-provider/Okta,arn:aws:iam::$accountid:role/IAM-role

13. 저장/다음을 선택합니다.

14. 할당 아래에서, 생성한 그룹에 애플리케이션을 할당합니다.