Google Workspace 및 IAM Identity Center를 사용하여 SAML 및 SCIM 구성

슈퍼 관리자 권한이 있는 계정을 사용하여 Google 관리 콘솔에 로그인합니다.

Google관리 콘솔의 왼쪽 탐색 패널에서 앱을 선택한 다음 웹 및 모바일 앱을 선택합니다.

앱 추가 드롭다운 목록에서 앱 검색을 선택합니다.

검색 상자에 Amazon Web Services를 입력한 다음 목록에서 Amazon Web Services(SAML) 앱을 선택합니다.

Google ID 제공업체 세부 정보-Amazon Web Services 페이지에서 다음 중 하나를 수행할 수 있습니다.

1. IdP 메타데이터를 다운로드합니다.

2. SSO URL, 엔터티 ID URL 및 인증서 정보를 복사합니다.

2단계에서는 XML 파일 또는 URL 정보가 필요합니다.

Google 관리자 콘솔의 다음 단계로 이동하기 전에 이 페이지를 열어 두고 IAM Identity Center 콘솔로 이동합니다.

관리 권한이 있는 역할을 사용하여 IAM Identity Center 콘솔에 로그인합니다.

왼쪽 탐색 창에서 설정을 선택합니다.

설정 페이지에서 작업을 선택한 다음 ID 소스 변경을 선택합니다.

ID 소스 선택 페이지에서 외부 ID 제공업체를 선택하고 다음을 선택합니다.

외부 ID 제공업체 구성 페이지가 열립니다. 이 페이지와 1단계의 Google Workspace 페이지를 완료하려면 다음을 완료해야 합니다.

1. IAM Identity Center 콘솔의 Identity Provider 메타데이터 섹션에서 다음 중 하나를 수행해야 합니다.

   1. IAM Identity Center 콘솔에서 Google SAML 메타데이터를 IdP SAML 메타데이터로 업로드합니다.

   2. Google SSO URL을 IdP 로그인 URL 필드에 복사하여 붙여넣고, Google 발급자 URL을 IdP 발급자 URL 필드에 붙여넣고, Google 인증서를 IdP 인증서로 업로드합니다.

IAM Identity Center 콘솔의 Identity Provider 메타데이터 섹션에 Google메타데이터를 제공한 후 IAM Identity Assertion Consumer Service(ACS) URL 및 IAM Identity Center 발급자 URL을 복사합니다. 다음 단계에서 Google 관리자 콘솔에서 이러한 URLs을 제공해야 합니다.

IAM Identity Center 콘솔을 사용하여 페이지를 열어 두고 Google 관리자 콘솔로 돌아갑니다. Amazon Web Services - 서비스 공급자 세부 정보 페이지에 있어야 합니다. 계속을 선택합니다.

서비스 공급자 세부 정보 페이지에서 ACS URL 및 엔터티 ID 값을 입력합니다. 이전 단계에서 이러한 값을 복사했으며 IAM Identity Center 콘솔에서 찾을 수 있습니다.

서비스 공급자 세부 정보 페이지에서 다음과 같이 이름 ID 아래의 필드를 입력합니다.

계속을 선택합니다.

속성 매핑 페이지의 속성 아래에서 매핑 추가를 선택하고 Google디렉터리 속성에서 이 필드를 구성합니다.

완료를 클릭합니다.

IAM Identity Center 콘솔로 돌아가서 다음을 선택합니다. 검토 및 확인 페이지에서 정보를 검토한 다음 제공된 공간에 ACCEPT를 입력합니다. ID 소스 변경을 선택합니다.

앱 및 웹 및 모바일 앱 에서 찾을 수 있는 Google 관리 콘솔과 AWS IAM Identity Center 애플리케이션으로 돌아갑니다.

사용자 액세스 패널의 사용자 액세스 옆에서 아래쪽 화살표를 선택하여 사용자 액세스 확장을 선택하여 서비스 상태 패널을 표시합니다.

서비스 상태에서 모든 사용자에 대해 켜짐을 선택한 다음 저장을 선택합니다.

IAM Identity Center 콘솔로 돌아갑니다.

설정 페이지에서 자동 프로비저닝 정보 상자를 찾은 다음 활성화를 선택합니다. 그러면 IAM Identity Center에서 자동 프로비저닝이 즉시 활성화되고 필요한 SCIM 엔드포인트 및 액세스 토큰 정보가 표시됩니다.

인바운드 자동 프로비저닝 대화 상자에서 다음 옵션의 각 값을 복사합니다. 이후 자습서의 5단계에서는 이 값을 입력하여 Google Workspace에서 프로비저닝을 구성합니다.

1. SCIM 엔드포인트-예: https://scim.us-east-2.amazonaws.com/11111111111-2222-3333-4444-555555555555/scim/v2

2. 액세스 토큰 - 토큰 표시를 선택하여 값을 복사합니다.

닫기를 선택하세요.

이제 IAM Identity Center 콘솔에서 프로비저닝을 설정했으므로 Google Workspace에서 자동 프로비저닝 IAM Identity Center 커넥터를 사용하여 남은 작업을 완료합니다.

앱 및 웹 및 모바일 앱 에서 찾을 수 있는 Google 관리자 콘솔과 AWS IAM Identity Center 애플리케이션으로 돌아갑니다. 자동 프로비저닝 섹션에서 자동 프로비저닝 구성을 선택합니다.

이전 절차에서 IAM Identity Center 콘솔에서 액세스 토큰 값을 복사했습니다. 해당 값을 `액세스 토큰 필드에 붙여 넣고 계속을 선택합니다. 또한 이전 절차에서 IAM Identity Center 콘솔에서 SCIM 엔드포인트 값을 복사했습니다. 해당 값을 Endpoint URL 필드에 붙여넣고 계속을 선택합니다.

모든 필수 IAM Identity Center 속성(* 표시)이 Google Cloud Directory 속성에 매핑되어 있는지 확인합니다. 그렇지 않은 경우 아래쪽 화살표를 선택하고 적절한 속성에 매핑합니다. 계속을 선택합니다.

프로비저닝 범위에서 Google Workspace 디렉터리가 있는 그룹을 선택하여 Amazon Web Services 앱에 대한 액세스를 제공할 수 있습니다. 이 단계를 건너뛰고 계속을 선택합니다.

프로비저닝 해제에서 사용자의 액세스를 제거하는 다양한 이벤트에 응답하는 방법을 선택할 수 있습니다. 각 상황에 대해 프로비저닝 해제가 시작되기까지 걸리는 시간을 다음과 같이 지정할 수 있습니다.

각 상황에 따라 계정 액세스를 일시 중단할 시기와 계정을 삭제할 시기를 설정할 수 있습니다.

마침을 클릭합니다. Amazon Web Services 앱 페이지로 돌아갑니다.

자동 프로비저닝 섹션에서 토글 스위치를 켜서 비활성에서 활성으로 변경합니다.

확인 대화 상자에서 켜기를 선택합니다.

사용자가 IAM Identity Center에 성공적으로 동기화되었는지 확인하려면 IAM Identity Center 콘솔로 돌아가서 사용자를 선택합니다. 사용자 페이지에는 SCIM에서 생성한 Google Workspace 디렉터리의 사용자가 나열됩니다. 사용자가 아직 목록에 없는 경우 프로비저닝이 아직 진행 중일 수 있습니다. 프로비저닝은 최대 24시간이 소요될 수 있지만 대부분의 경우 몇 분 내에 완료됩니다. 몇 분마다 브라우저 창을 새로 고쳐야 합니다.

사용자를 선택하고 세부 정보를 확인합니다. 정보가 Google Workspace 디렉터리의 정보와 일치해야 합니다.

IAM Identity Center 콘솔로 돌아갑니다. IAM Identity Center 탐색 창의 다중 계정 권한에서 AWS 계정을 선택합니다.

AWS 계정 페이지의 조직 구조에는 조직 루트가 표시되고 계층 구조에 따라 그 아래에 사용자 계정이 표시됩니다. 관리 계정의 확인란을 선택한 다음 사용자 또는 그룹 할당을 선택합니다.

사용자 및 그룹 할당 워크플로가 표시됩니다. 워크플로는 세 단계로 구성됩니다.

1. 1단계: 사용자 및 그룹 선택에서 관리자 작업을 수행할 사용자를 선택합니다. 다음을 선택합니다.

2. 2단계: 권한 세트 선택에서 권한 세트 생성을 선택하여 권한 세트 생성과 관련된 3가지 하위 단계를 안내하는 새 탭이 열립니다.

   1. 1단계: 권한 세트 유형 선택에서 다음을 완료합니다.

      • 권한 세트 유형에서 사전 정의된 권한 세트를 선택합니다.

      • 사전 정의된 권한 세트 정책 섹션에서 AdministratorAccess를 선택합니다.

      Next(다음)를 선택합니다.

   2. 2단계: 권한 세트 세부 정보 지정 페이지에서 기본 설정을 유지하고 다음을 선택합니다.

      기본 설정에서는 세션 지속 시간이 1시간으로 설정된 AdministratorAccess라는 권한 세트를 생성합니다.

   3. 3단계: 검토 및 생성에서 권한 세트 유형이 AWS 관리형 정책 AdministratorAccess를 사용하는지 확인합니다. 생성(Create)을 선택합니다. 권한 세트 페이지에 권한 세트가 생성되었음을 알리는 알림이 표시됩니다. 이제 웹 브라우저에서 이 탭을 닫을 수 있습니다.

   4. 사용자 및 그룹 할당 브라우저 탭에서 권한 세트 생성 워크플로를 시작한 2단계: 권한 세트 선택에 여전히 있습니다.

   5. 권한 세트 영역에서 새로 고침 버튼을 선택합니다. 생성한 AdministratorAccess 권한 세트가 목록에 표시됩니다. 권한 세트의 확인란을 선택하고 다음을 선택합니다.

3. 3단계: 검토 및 제출에서 선택한 사용자 및 권한 세트를 검토한 다음 제출을 선택합니다.

   AWS 계정이 구성 중이라는 메시지와 함께 페이지가 업데이트됩니다. 프로세스가 완료될 때까지 기다립니다.

   AWS 계정 페이지로 돌아갑니다. AWS 계정이 다시 프로비저닝되었으며 업데이트된 권한 세트가 적용되었다는 알림 메시지가 표시됩니다. 사용자가 로그인하면 AdministratorAccess 역할을 선택할 수 있는 옵션이 제공됩니다.

   참고

   Google Workspace의 SCIM 자동 동기화는 사용자 프로비저닝만 지원합니다. 자동 그룹 프로비저닝은 현재 지원되지 않습니다. AWS Management Console을 사용하여 Google Workspace 사용자에 대한 그룹을 생성할 수는 없습니다. 사용자를 프로비저닝한 후 AWS CLI Identity Store create-group 명령 또는 IAM API CreateGroup 사용하여 그룹을 생성할 수 있습니다.

테스트 사용자 계정을 사용하여 Google에 로그인합니다. Google Workspace에 사용자를 추가하는 방법을 알아보려면 Google Workspace 설명서를 참조하세요.

Google apps런처(와플 모양) 아이콘을 선택합니다.

사용자 지정 Google Workspace 앱이 있는 앱 목록 하단으로 스크롤합니다. Amazon Web Services 앱이 표시됩니다.

Amazon Web Services 앱을 선택합니다. AWS 액세스 포털에 로그인하면 AWS 계정 아이콘이 표시됩니다. 사용자가 액세스할 수 있는 AWS 계정 목록을 보려면 이 아이콘을 확장합니다. 이 자습서에서는 단일 계정만 사용했으므로 아이콘을 확장하면 하나의 계정만 표시됩니다.

계정을 선택하면 사용자에게 제공되는 권한 세트가 표시됩니다. 이 자습서에서는 AdministratorAccess 권한 세트를 생성했습니다.

권한 세트 옆에는 해당 권한 세트에 사용할 수 있는 액세스 유형에 대한 링크가 있습니다. 권한 세트를 생성할 때 관리 콘솔과 프로그래밍 방식 액세스를 모두 활성화하도록 지정했으므로 두 가지 옵션이 제공됩니다. 관리 콘솔을 선택하면 AWS Management Console이 열립니다.

사용자가 콘솔에 로그인합니다.