SCIM를 사용하여 SAML 및 구성 Google Workspace 및 IAM Identity Center

에 로그인 Google 슈퍼 관리자 권한이 있는 계정을 사용하는 관리자 콘솔.

의 왼쪽 탐색 패널에서 Google 관리자 콘솔에서 앱을 선택한 다음 웹 및 모바일 앱을 선택합니다.

앱 추가 드롭다운 목록에서 앱 검색을 선택합니다.

검색 상자에 Amazon Web Services를 입력한 다음 목록에서 Amazon Web Services(SAML) 앱을 선택합니다.

에서 Google 자격 증명 공급자 세부 정보 - Amazon Web Services 페이지에서 다음 중 하나를 수행할 수 있습니다.

1. IdP 메타데이터를 다운로드합니다.

2. SSO URL, 개체 ID URL및 인증서 정보를 복사합니다.

2단계의 XML 파일 또는 URL 정보가 필요합니다.

의 다음 단계로 이동하기 전에 Google 관리자 콘솔에서이 페이지를 열어 두고 IAM Identity Center 콘솔로 이동합니다.

관리 권한이 있는 역할을 사용하여 IAM Identity Center 콘솔에 로그인합니다.

왼쪽 탐색 창에서 설정을 선택합니다.

설정 페이지에서 작업을 선택한 다음 ID 소스 변경을 선택합니다.

ID 소스 선택 페이지에서 외부 ID 제공업체를 선택하고 다음을 선택합니다.

외부 ID 제공업체 구성 페이지가 열립니다. 이 페이지와를 완료하려면 Google Workspace 1단계의 페이지에서 다음을 완료해야 합니다.

1. Identity IAM Center 콘솔의 Identity Provider 메타데이터 섹션에서 다음 중 하나를 수행해야 합니다.

   1. 업로드 Google SAML IAM Identity Center 콘솔에서 메타데이터를 IdP SAML 메타데이터로 사용합니다.

   2. 복사하여 붙여넣기 Google SSO URL IdP 로그인 URL 필드에 Google 발급자를 URL IdP 발급URL자 필드에 입력하고 Google IdP 인증서로서의 인증서. IdP

제공 후 Google IAM Identity Center 콘솔의 Identity Provider 메타데이터 섹션에 있는 메타데이터에서 IAM Identity Assertion Consumer Service(ACS) URL 및 IAM Identity Center 발급자 URL를 복사합니다. URLs에서 이를 제공해야 합니다.Google 다음 단계의 관리자 콘솔.

IAM Identity Center 콘솔을 사용하여 페이지를 열어 두고 로 돌아갑니다.Google 관리자 콘솔. Amazon Web Services-서비스 공급자 세부 정보 페이지에 있어야 합니다. 계속을 선택합니다.

서비스 공급자 세부 정보 페이지에서 ACS URL 및 개체 ID 값을 입력합니다. 이전 단계에서 이러한 값을 복사했으며 IAM Identity Center 콘솔에서 찾을 수 있습니다.

서비스 공급자 세부 정보 페이지에서 다음과 같이 이름 ID 아래의 필드를 입력합니다.

Continue(계속)을 선택합니다.

속성 매핑 페이지의 속성에서 ADDMAPPING를 선택한 다음, 아래에서 이러한 필드를 구성합니다. Google 디렉터리 속성:

완료를 클릭합니다.

IAM Identity Center 콘솔로 돌아가 다음을 선택합니다. 검토 및 확인 페이지에서 정보를 검토한 다음 제공된 공간에 ACCEPT를 입력합니다. ID 소스 변경을 선택합니다.

로 돌아가기 Google 앱 및 웹 및 모바일 앱에서 찾을 수 있는 Admin Console 및 AWS IAM Identity Center 애플리케이션.

사용자 액세스 패널의 사용자 액세스 옆에서 아래쪽 화살표를 선택하여 사용자 액세스 확장을 선택하여 서비스 상태 패널을 표시합니다.

서비스 상태 패널에서 모든 사용자에 대해 ON을 선택한 다음를 선택합니다SAVE.

IAM Identity Center 콘솔로 돌아갑니다.

설정 페이지에서 자동 프로비저닝 정보 상자를 찾은 다음 활성화를 선택합니다. 그러면 IAM Identity Center에서 자동 프로비저닝이 즉시 활성화되고 필요한 SCIM 엔드포인트 및 액세스 토큰 정보가 표시됩니다.

인바운드 자동 프로비저닝 대화 상자에서 다음 옵션의 각 값을 복사합니다. 이 자습서의 5단계에서는 이러한 값을 입력하여에서 자동 프로비저닝을 구성합니다.Google Workspace.

1. SCIM 엔드포인트 - 예: https://scim.us-east-2.amazonaws.com/11111111111-2222-3333-4444-555555555555/scim/v2

2. 액세스 토큰 - 토큰 표시를 선택하여 값을 복사합니다.

닫기를 선택하세요.

이제 IAM Identity Center 콘솔에서 프로비저닝을 설정했으므로 다음 단계에서에서 자동 프로비저닝을 구성합니다.Google Workspace.

로 돌아가기 Google 앱 및 웹 및 모바일 앱에서 찾을 수 있는 관리자 콘솔 및 애플리케이션 AWS IAM Identity Center . 자동 프로비저닝 섹션에서 자동 프로비저닝 구성을 선택합니다.

이전 절차에서는 IAM Identity Center 콘솔에서 액세스 토큰 값을 복사했습니다. 해당 값을 `액세스 토큰 필드에 붙여 넣고 계속을 선택합니다. 또한 이전 절차에서는 IAM Identity Center 콘솔에서 SCIM 엔드포인트 값을 복사했습니다. 해당 값을 엔드포인트 URL 필드에 붙여 넣고 계속을 선택합니다.

모든 필수 IAM Identity Center 속성(*로 표시된 속성)이에 매핑되었는지 확인합니다.Google Cloud Directory 속성. 그렇지 않은 경우 아래쪽 화살표를 선택하고 적절한 속성에 매핑합니다. Continue(계속)을 선택합니다.

프로비저닝 범위 섹션에서를 사용하여 그룹을 선택할 수 있습니다.Google Workspace Amazon Web Services 앱에 대한 액세스를 제공하는 디렉터리입니다. 이 단계를 건너뛰고 계속을 선택합니다.

프로비저닝 해제에서 사용자의 액세스를 제거하는 다양한 이벤트에 응답하는 방법을 선택할 수 있습니다. 각 상황에 대해 프로비저닝 해제가 시작되기까지 걸리는 시간을 다음과 같이 지정할 수 있습니다.

각 상황에 따라 계정 액세스를 일시 중단할 시기와 계정을 삭제할 시기를 설정할 수 있습니다.

마침을 클릭합니다. Amazon Web Services 앱 페이지로 돌아갑니다.

자동 프로비저닝 섹션에서 토글 스위치를 켜서 비활성에서 활성으로 변경합니다.

확인 대화 상자에서 켜기를 선택합니다.

사용자가 IAM Identity Center에 성공적으로 동기화되었는지 확인하려면 IAM Identity Center 콘솔로 돌아가 사용자를 선택합니다. 사용자 페이지에는의 사용자가 나열됩니다.Google Workspace 에서 생성한 디렉터리입니다SCIM. 사용자가 아직 목록에 없는 경우 프로비저닝이 아직 진행 중일 수 있습니다. 프로비저닝은 최대 24시간이 소요될 수 있지만 대부분의 경우 몇 분 내에 완료됩니다. 몇 분마다 브라우저 창을 새로 고쳐야 합니다.

사용자를 선택하고 세부 정보를 확인합니다. 정보는의 정보와 일치해야 합니다.Google Workspace 디렉터리.

IAM Identity Center 콘솔로 돌아갑니다. IAM Identity Center 탐색 창의 다중 계정 권한에서를 선택합니다AWS 계정.

AWS 계정 페이지의 조직 구조에는 조직 루트가 표시되고 계층 구조에 따라 그 아래에 사용자 계정이 표시됩니다. 관리 계정의 확인란을 선택한 다음 사용자 또는 그룹 할당을 선택합니다.

사용자 및 그룹 할당 워크플로가 표시됩니다. 워크플로는 세 단계로 구성됩니다.

1. 1단계: 사용자 및 그룹 선택에서 관리자 작업을 수행할 사용자를 선택합니다. 그런 다음 다음을 선택합니다.

2. 2단계: 권한 세트 선택에서 권한 세트 생성을 선택하여 권한 세트 생성과 관련된 3가지 하위 단계를 안내하는 새 탭이 열립니다.

   1. 1단계: 권한 세트 유형 선택에서 다음을 완료합니다.

      • 권한 세트 유형에서 사전 정의된 권한 세트를 선택합니다.

      • 미리 정의된 권한 세트에 대한 정책에서를 선택합니다AdministratorAccess.

      Next(다음)를 선택합니다.

   2. 2단계: 권한 세트 세부 정보 지정 페이지에서 기본 설정을 유지하고 다음을 선택합니다.

      기본 설정은 세션 기간이 1시간AdministratorAccess으로 설정된 라는 권한 세트를 생성합니다.

   3. 3단계: 검토 및 생성의 경우 권한 세트 유형이 AWS 관리형 정책를 사용하는지 확인합니다AdministratorAccess. 생성(Create)을 선택합니다. 권한 세트 페이지에 권한 세트가 생성되었음을 알리는 알림이 표시됩니다. 이제 웹 브라우저에서 이 탭을 닫을 수 있습니다.

   4. 사용자 및 그룹 할당 브라우저 탭에서 권한 세트 생성 워크플로를 시작한 2단계: 권한 세트 선택에 여전히 있습니다.

   5. 권한 세트 영역에서 새로 고침 버튼을 선택합니다. 생성한 AdministratorAccess 권한 세트가 목록에 나타납니다. 권한 세트의 확인란을 선택하고 다음을 선택합니다.

3. 3단계: 검토 및 제출에서 선택한 사용자 및 권한 세트를 검토한 다음 제출을 선택합니다.

   페이지는 구성 AWS 계정 중인 메시지로 업데이트됩니다. 프로세스가 완료될 때까지 기다립니다.

   AWS 계정 페이지로 돌아갑니다. 알림 메시지는가 재프로비저닝되었고 업데이트된 권한 세트 AWS 계정 가 적용되었음을 알려줍니다. 사용자가 로그인하면 AdministratorAccess 역할을 선택할 수 있습니다.

   참고

   SCIM에서 자동 동기화 Google Workspace 는 프로비저닝 사용자만 지원합니다. 자동 그룹 프로비저닝은 현재 지원되지 않습니다. 에 대한 그룹을 생성할 수 없습니다.Google Workspace 를 사용하는 사용자 AWS Management Console. 사용자를 프로비저닝한 후 AWS CLI Identity Store create-group 명령 또는 IAM API를 사용하여 그룹을 생성할 수 있습니다CreateGroup.

에 로그인 Google 테스트 사용자 계정 사용. 에 사용자를 추가하는 방법을 알아보려면 Google Workspace, 참조 Google Workspace 설명서.

를 선택합니다.Google apps Launcher(와플) 아이콘.

사용자 지정이 있는 앱 목록의 하단으로 스크롤합니다.Google Workspace 앱이 있습니다. Amazon Web Services 앱이 표시됩니다.

Amazon Web Services 앱을 선택합니다. AWS 액세스 포털에 로그인하면 AWS 계정 아이콘이 표시됩니다. 해당 아이콘을 확장하여 사용자가 액세스할 수 AWS 계정 있는 목록을 확인합니다. 이 자습서에서는 단일 계정만 사용했으므로 아이콘을 확장하면 하나의 계정만 표시됩니다.

계정을 선택하면 사용자에게 제공되는 권한 세트가 표시됩니다. 이 자습서에서는 AdministratorAccess 권한 세트를 생성했습니다.

권한 세트 옆에는 해당 권한 세트에 사용할 수 있는 액세스 유형에 대한 링크가 있습니다. 권한 세트를 생성할 때 관리 콘솔과 프로그래밍 방식 액세스를 모두 활성화하도록 지정했으므로 두 가지 옵션이 제공됩니다. 관리 콘솔을 선택하면 AWS Management Console이 열립니다.

사용자가 콘솔에 로그인합니다.