SCIM를 사용하여 SAML 및 구성 Microsoft Entra ID 및 IAM Identity Center - AWS IAM Identity Center
사전 조건고려 사항1단계: Microsoft 테넌트 준비2단계: AWS 계정 준비3단계: SAML 연결 구성 및 테스트4단계: SCIM 동기화 구성 및 테스트5단계: 구성 ABAC - 선택 사항에 액세스 권한 할당 AWS 계정문제 해결

기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

SCIM를 사용하여 SAML 및 구성 Microsoft Entra ID 및 IAM Identity Center

AWS IAM Identity Center 는 Security Assertion Markup Language(SAML) 2.0과의 통합과에서 사용자 및 그룹 정보의 자동 프로비저닝(동기화)을 지원합니다.Microsoft Entra ID (이전 명칭: Azure Active Directory or Azure AD)를 IAM ID 센터에 연결하려면 System for Cross-domain Identity Management(SCIM) 2.0 프로토콜을 사용합니다. 자세한 내용은 외부 ID 제공업체와의 SAML 및 SCIM ID 페더레이션 사용 단원을 참조하십시오.

목표

이 자습서에서는 테스트 랩을 설정하고 다음 간에 SAML 연결 및 SCIM 프로비저닝을 구성합니다.Microsoft Entra ID 및 IAM Identity Center. 초기 준비 단계에서는 두 가지 모두에서 테스트 사용자(Nikki Wolf)를 생성합니다.Microsoft Entra ID 양방향으로 SAML 연결을 테스트하는 데 사용할 및 IAM Identity Center. 나중에 SCIM 단계의 일부로 다른 테스트 사용자(Richard Roe)를 생성하여의 새 속성을 확인합니다.Microsoft Entra ID 는 예상대로 IAM Identity Center와 동기화됩니다.

사전 조건

이 자습서를 시작하려면 먼저 다음을 설정해야 합니다.

고려 사항

다음은에 대한 중요한 고려 사항입니다.Microsoft Entra ID SCIM v2 프로토콜을 사용하여 프로덕션 환경에서 IAM Identity Center를 사용하여 자동 프로비저닝을 구현하는 방법에 영향을 미칠 수 있습니다.

자동 프로비저닝

배포를 시작하기 전에 먼저를 검토하는 SCIM것이 좋습니다자동 프로비저닝을 사용할 때 고려 사항.

액세스 제어를 위한 속성

액세스 제어 속성은 자격 증명 소스의 누가 AWS 리소스에 액세스할 수 있는지 결정하는 권한 정책에 사용됩니다. 에서 사용자로부터 속성이 제거된 경우 Microsoft Entra ID, 해당 속성은 IAM Identity Center의 해당 사용자에서 제거되지 않습니다. 이는에서 알려진 제한 사항입니다.Microsoft Entra ID. 속성이 사용자에 대해 다른(비어 있지 않은) 값으로 변경되면 해당 변경 사항이 IAM Identity Center에 동기화됩니다.

중첩된 그룹

.Microsoft Entra ID 사용자 프로비저닝 서비스는 중첩된 그룹에서 사용자를 읽거나 프로비저닝할 수 없습니다. 명시적으로 할당된 그룹의 즉시 멤버인 사용자만 읽고 프로비저닝할 수 있습니다.Microsoft Entra ID 는 간접적으로 할당된 사용자 또는 그룹(직접 할당된 그룹의 멤버인 사용자 또는 그룹)의 그룹 멤버십을 재귀적으로 언패킹하지 않습니다. 자세한 내용은 의 할당 기반 범위 지정을 참조하세요.Microsoft . 또는 IAM Identity Center ID AD Sync를 사용하여 Active Directory IAM Identity Center가 있는 그룹.

동적 그룹

.Microsoft Entra ID 사용자 프로비저닝 서비스는 동적 그룹에서 사용자를 읽고 프로비저닝할 수 있습니다. 동적 그룹을 사용하는 동안의 사용자 및 그룹 구조와 IAM Identity Center에 표시되는 방법을 보여주는 예는 아래를 참조하세요. 이러한 사용자 및 그룹은에서 프로비저닝되었습니다.Microsoft Entra ID 를 통해 IAM Identity Center로 SCIM

예를 들어,Microsoft Entra ID 동적 그룹의 구조는 다음과 같습니다.

  1. 구성원 ua1, ua2로 구성된 그룹 A

  2. 구성원 ub1의 그룹 B

  3. 구성원 uc1의 그룹 C

  4. 그룹 A, B, C의 구성원을 포함하는 규칙이 있는 그룹 K

  5. 그룹 B, C의 구성원을 포함하는 규칙이 있는 그룹 L

에서 사용자 및 그룹 정보를 프로비저닝한 후 Microsoft Entra ID SCIM를 통해 IAM Identity Center로 이동하면 구조는 다음과 같습니다.

  1. 구성원 ua1, ua2로 구성된 그룹 A

  2. 구성원 ub1의 그룹 B

  3. 구성원 uc1의 그룹 C

  4. 구성원 ua1, ua2, ub1, uc1로 구성된 그룹 K

  5. 구성원 ub1, uc1의 그룹 L

동적 그룹을 사용하여 자동 프로비저닝을 구성할 때는 다음 사항을 명심하세요.

  • 동적 그룹에는 중첩된 그룹이 포함될 수 있습니다. 그러나 Microsoft Entra ID 프로비저닝 서비스는 중첩된 그룹을 평면화하지 않습니다. 예를 들어 다음과 같은 경우 Microsoft Entra ID 동적 그룹의 구조:

    • 그룹 A는 그룹 B의 부모입니다.

    • 그룹 A에는 ua1이 구성원으로 있습니다.

    • 그룹 B에는 ub1이 구성원으로 있습니다.

그룹 A를 포함하는 동적 그룹에는 그룹 A의 직속 구성원(즉, ua1)만 포함됩니다. 그룹 B의 구성원은 반복적으로 포함되지 않습니다.

  • 동적 그룹은 다른 동적 그룹을 포함할 수 없습니다. 자세한 내용은의 미리 보기 제한 사항을 참조하세요.Microsoft .

1단계: Microsoft 테넌트 준비

이 단계에서는 AWS IAM Identity Center 엔터프라이즈 애플리케이션을 설치 및 구성하고 새로 생성된에 액세스 권한을 할당하는 방법을 살펴봅니다.Microsoft Entra ID 테스트 사용자.

Step 1.1 >

1.1단계:에서 AWS IAM Identity Center 엔터프라이즈 애플리케이션 설정 Microsoft Entra ID

이 절차에서는에 AWS IAM Identity Center 엔터프라이즈 애플리케이션을 설치합니다.Microsoft Entra ID. 연결을 구성하려면 나중에이 애플리케이션이 필요합니다SAML AWS.

  1. Microsoft Entra 관리 센터에 클라우드 애플리케이션 관리자 이상의 권한으로 로그인합니다.

  2. ID > 애플리케이션 > 엔터프라이즈 애플리케이션으로 이동한 다음 새 애플리케이션을 선택합니다.

  3. Microsoft Entra 갤러리 찾아보기 페이지의 검색 상자에 AWS IAM Identity Center을 입력합니다.

  4. 결과에서 AWS IAM Identity Center을 선택합니다.

  5. 생성(Create)을 선택합니다.

Step 1.2 >

1.2단계:에서 테스트 사용자 생성 Microsoft Entra ID

Nikki Wolf는 Microsoft Entra ID 이 절차에서 생성할 사용자를 테스트합니다.

  1. Microsoft Entra 관리 센터 콘솔에서 ID > 사용자 > 모든 사용자로 이동합니다.

  2. 새 사용자를 선택한 다음 화면 상단에서 새 사용자 생성을 선택합니다.

  3. 사용자 보안 주체 이름에 NikkiWolf를 입력하고 원하는 도메인과 확장자를 선택합니다. 예: NikkiWolf@example.org.

  4. 표시 이름에 NikkiWolf를 입력합니다.

  5. 암호 강력한 암호를 입력하거나 눈 모양 아이콘을 선택하여 자동 생성된 암호를 표시한 다음 표시된 값을 복사하거나 기록해 둡니다.

  6. 속성 을 선택하고 이름에 Nikki를 입력합니다. 성에 Wolf를 입력합니다.

  7. 검토 + 생성을 선택한 후 생성을 선택합니다.

Step 1.3

1.3단계:에 권한을 할당하기 전에 Nikki의 경험 테스트 AWS IAM Identity Center

이 절차에서는 Nikki가 Microsoft 내 계정 포털에 성공적으로 로그인할 수 있는지 확인합니다.

  1. 동일한 브라우저에서 새 탭을 열고 내 계정 포털 로그인 페이지로 이동한 다음 Nikki의 전체 이메일 주소를 입력합니다. 예: NikkiWolf@example.org.

  2. 메시지가 표시되면 Nikki의 암호를 입력한 다음 로그인을 선택합니다. 자동 생성된 암호인 경우 암호를 변경하라는 메시지가 표시됩니다.

  3. 작업 필요 페이지에서 나중에 물어보기를 선택하여 추가 보안 방법 메시지를 건너뜁니다.

  4. 내 계정 페이지의 왼쪽 탐색 창에서 내 앱을 선택합니다. 지금은 추가 기능 외에는 앱이 표시되지 않습니다. 이후 단계에서 여기에 표시될 AWS IAM Identity Center 앱을 추가하게 됩니다.

Step 1.4

1.4단계:에서 Nikki에 권한 할당 Microsoft Entra ID

이제 Nikki가 내 계정 포털에 성공적으로 액세스할 수 있음을 확인했으니 이 절차를 사용하여 Nikki의 사용자를 AWS IAM Identity Center 앱에 할당합니다.

  1. Microsoft Entra 관리 센터 콘솔에서 ID > 애플리케이션 > 엔터프라이즈 애플리케이션으로 이동한 다음 목록에서 AWS IAM Identity Center을 선택합니다.

  2. 왼쪽에서 사용자 및 그룹을 선택합니다.

  3. 사용자/그룹 추가(Add user/group)를 선택합니다. 그룹을 할당할 수 없다는 메시지는 무시해도 좋습니다. 이 자습서에서는 할당에 그룹을 사용하지 않습니다.

  4. 할당 추가 페이지의 사용자에서 선택된 항목 없음을 선택합니다.

  5. NikkiWolf를 선택한 다음 선택을 선택합니다.

  6. 할당 추가 페이지에서 할당을 선택합니다. NikkiWolf 지금 AWS IAM Identity Center 앱에 할당된 사용자 목록에 나타납니다.

2단계: AWS 계정 준비

이 단계에서는를 사용하는 방법을 안내합니다. IAM Identity Center를 사용하여 액세스 권한을 구성하고(권한 세트를 통해), 해당 Nikki Wolf 사용자를 수동으로 생성하고,에서 리소스를 관리하는 데 필요한 권한을 할당합니다 AWS.

Step 2.1 >

2.1단계:에서 RegionalAdmin 권한 세트 생성 IAM Identity Center

이 권한 세트는 내 AWS 계정 페이지에서 리전을 관리하는 데 필요한 필요한 계정 권한을 Nikki에 부여하는 데 사용됩니다 AWS Management Console. Nikki 계정에서 다른 정보를 보거나 관리할 수 있는 기타 모든 권한은 기본적으로 거부됩니다.

  1. IAM Identity Center 콘솔을 엽니다.

  2. 다중 계정 권한 아래에서 권한 집합을 선택합니다.

  3. 권한 집합 생성을 선택합니다.

  4. 권한 세트 유형 선택 페이지에서 사용자 지정 권한 세트를 선택하고 다음을 선택합니다.

  5. 인라인 정책을 선택하여 확장하고, 다음 단계에 따라 권한 세트에 대한 정책을 생성합니다.

    1. 새 문 추가를 선택하여 정책 문을 생성합니다.

    2. 문 편집의 목록에서 계정을 선택하고 다음 확인란을 선택합니다.

      • ListRegions

      • GetRegionOptStatus

      • DisableRegion

      • EnableRegion

    3. 리소스 추가 옆에 있는 추가를 선택합니다.

    4. 리소스 추가 페이지의 리소스 유형에서 모든 리소스를 선택한 다음 리소스 추가를 선택합니다. 정책이 다음과 같은지 확인합니다.

      {
    "Statement": [
        {
            "Sid": "Statement1",
            "Effect": "Allow",
            "Action": [
                "account:ListRegions",
                "account:DisableRegion",
                "account:EnableRegion",
                "account:GetRegionOptStatus"
            ],
            "Resource": [
                "*"
            ]
        }
    ]
}

  6. Next(다음)를 선택합니다.

  7. 권한 세트 세부 정보 지정 페이지의 권한 세트 이름에서 RegionalAdmin을 입력하고 다음을 선택합니다.

  8. 검토 및 생성 페이지에서 생성을 선택합니다. 권한 세트 목록에 RegionalAdmin가 표시됩니다.

Step 2.2 >

2.2단계:에서 해당 NikkiWolf 사용자 생성 IAM Identity Center

SAML 프로토콜은 IdP(Microsoft Entra ID) 및는 IAM Identity Center에서 자동으로 사용자를 생성합니다. 다음 절차에 따라에서 Nikki Wolfs 사용자의 코어 속성을 미러링하는 사용자를 IAM Identity Center에서 수동으로 생성합니다.Microsoft Entra ID.

  1. IAM Identity Center 콘솔을 엽니다.

  2. 사용자를 선택하고 사용자 추가를 선택한 후 다음 정보를 입력합니다.

    1. 사용자 이름과 이메일 주소 모두 -를 생성할 때 사용한 것과 동일한 NikkiWolf@yourcompanydomain.extension를 입력합니다.Microsoft Entra ID 사용자. 예: NikkiWolf@example.org.

    2. 이메일 주소 확인 - 이전 단계에서 사용한 이메일 주소를 다시 입력

    3. 이름 – Nikki 입력

    4. 성 – Wolf 입력

    5. 표시 이름 – Nikki Wolf 입력

  3. 다음을 두 번 선택하고, 사용자 추가를 선택합니다.

  4. Close(닫기)를 선택합니다.

Step 2.3

2.3단계:의 RegionalAdmin 권한 세트에 Nikki 할당 IAM Identity Center

여기서 Nikki AWS 계정 가 리전을 관리하는를 찾은 다음 액세스 AWS 포털에 성공적으로 액세스하는 데 필요한 권한을 할당합니다.

  1. IAM Identity Center 콘솔을 엽니다.

  2. 다중 계정 권한에서 AWS 계정를 선택합니다.

  3. Nikki에 리전을 관리할 수 있는 액세스 권한을 부여하려는 계정 이름 옆의 확인란(예: Sandbox)을 선택한 다음 사용자 및 그룹 할당을 선택합니다.

  4. 사용자 및 그룹 할당 페이지에서 사용자 탭을 선택하고, Nikki 옆에 있는 확인란을 찾아 선택하고, 다음을 선택합니다.

3단계: SAML 연결 구성 및 테스트

이 단계에서는의 AWS IAM Identity Center 엔터프라이즈 애플리케이션을 사용하여 SAML 연결을 구성합니다.Microsoft Entra ID IAM Identity Center의 외부 IdP 설정과 함께 사용합니다.

Step 3.1 >

3.1단계: IAM Identity Center에서 필요한 서비스 공급자 메타데이터 수집

이 단계에서는 Identity Center 콘솔 내에서 IAM 자격 증명 소스 변경 마법사를 시작하고를 사용하여 연결을 구성할 때 입력해야 URL 하는 메타데이터 파일과 AWS 특정 로그인을 검색합니다.Microsoft Entra ID 다음 단계에서.

  1. IAM Identity Center 콘솔에서 설정을 선택합니다.

  2. 설정 페이지에서 ID 소스 탭을 선택한 다음 작업 > ID 소스 변경을 선택합니다.

  3. ID 소스 선택 페이지에서 외부 ID 제공업체를 선택하고 다음을 선택합니다.

  4. 외부 자격 증명 공급자 구성 페이지의 서비스 공급자 메타데이터에서 메타데이터 파일 다운로드를 선택하여 XML 파일을 다운로드합니다.

  5. 동일한 섹션에서 AWS 액세스 포털 로그인 URL 값을 찾아 복사합니다. 다음 단계에서 메시지가 표시될 때 이 값을 입력해야 합니다.

  6. 이 페이지를 열어 두고 다음 단계(Step 3.2)로 이동하여에서 AWS IAM Identity Center 엔터프라이즈 애플리케이션을 구성합니다.Microsoft Entra ID. 나중에이 페이지로 돌아가 프로세스를 완료합니다.

Step 3.2 >

3.2단계:에서 AWS IAM Identity Center 엔터프라이즈 애플리케이션 구성 Microsoft Entra ID

이 절차는 마지막 단계에서 URL 얻은 메타데이터 파일 및 Sign-On의 값을 사용하여 Microsoft 측 SAML 연결의 절반을 설정합니다.

  1. Microsoft Entra 관리 센터 콘솔에서 ID > 애플리케이션 > 엔터프라이즈 애플리케이션으로 이동한 다음 AWS IAM Identity Center을 선택합니다.

  2. 왼쪽에서 2를 선택합니다. Single Sign-On을 설정합니다.

  3. 를 사용하여 Single Sign-On 설정 SAML 페이지에서를 선택합니다SAML. 그런 다음 메타데이터 파일 업로드를 선택하고 폴더 아이콘을 선택하고 이전 단계에서 다운로드한 서비스 공급자 메타데이터 파일을 선택한 다음 추가를 선택합니다.

  4. 기본 SAML 구성 페이지에서 식별자 값과 회신 URL 값이 모두 로 시작하는의 엔드포인트를 가리키 AWS 는지 확인합니다https://<REGION>.signin.aws.amazon.com/platform/saml/.

  5. 로그인URL(선택 사항)에서 이전 단계()에서 복사한 AWS 액세스 포털 로그인 URL 값을 붙여넣고 저장을 Step 3.1선택한 다음 X를 선택하여 창을 닫습니다.

  6. 를 사용하여 Single Sign-On을 테스트하라는 메시지가 표시되면 나중에 테스트하겠습니다를 AWS IAM Identity Center선택합니다. 이 확인 작업은 이후 단계에서 수행하게 됩니다.

  7. 를 사용하여 Single Sign-On 설정 SAML 페이지의 SAML 인증서 섹션에서 연동 메타데이터 XML옆의 다운로드를 선택하여 메타데이터 파일을 시스템에 저장합니다. 다음 단계에서 메시지가 표시될 때 이 파일을 업로드해야 합니다.

Step 3.3 >

3.3단계: 구성 Microsoft Entra ID 의 외부 IdP AWS IAM Identity Center

여기서 Identity Center 콘솔의 IAM 자격 증명 소스 변경 마법사로 돌아가에서 SAML 연결의 두 번째 절반을 완료합니다 AWS.

  1. IAM Identity Center 콘솔에서 열어 둔 브라우저 세션Step 3.1으로 돌아갑니다.

  2. 외부 자격 증명 공급자 구성 페이지의 자격 증명 공급자 메타데이터 섹션의 IdP SAML 메타데이터에서 파일 선택 버튼을 선택하고에서 다운로드한 자격 증명 공급자 메타데이터 파일을 선택합니다.Microsoft Entra ID 이전 단계에서 열기를 선택합니다.

  3. Next(다음)를 선택합니다.

  4. 고지 사항을 읽고 진행할 준비가 되면 ACCEPT를 입력합니다.

  5. ID 소스 변경을 선택하여 변경 사항을 적용합니다.

Step 3.4 >

3.4단계: Nikki가 AWS 액세스 포털로 리디렉션되는지 테스트

이 절차에서는 Nikki의 자격 증명으로 Microsoft의 내 계정 포털에 로그인하여 SAML 연결을 테스트합니다. 인증되면 Nikki를 AWS 액세스 포털로 리디렉션할 AWS IAM Identity Center 애플리케이션을 선택합니다.

  1. 내 계정 포털 로그인 페이지로 이동한 다음 Nikki의 전체 이메일 주소를 입력합니다. 예: NikkiWolf@example.org.

  2. 메시지가 표시되면 Nikki의 암호를 입력한 다음 로그인을 선택합니다.

  3. 내 계정 페이지의 왼쪽 탐색 창에서 내 앱을 선택합니다.

  4. 내 앱 페이지에서 이름이 AWS IAM Identity Center인 앱을 선택합니다. 그러면 추가 인증을 요구하는 메시지가 표시됩니다.

  5. Microsoft의 로그인 페이지에서 자격 NikkiWolf 증명을 선택합니다. 인증을 두 번째로 요청하는 메시지가 표시되면 NikkiWolf 자격 증명을 다시 선택합니다. 그러면 AWS 액세스 포털로 자동으로 리디렉션됩니다.

    작은 정보

    리디렉션되지 않은 경우에 입력한 AWS 액세스 포털 로그인 URL 값이에서 복사한 값과 Step 3.2 일치하는지 확인합니다Step 3.1.

  6. AWS 계정 디스플레이를 확인합니다.

    작은 정보

    페이지가 비어 있고 AWS 계정 표시되지 않는 경우 Nikki가 RegionalAdmin 권한 세트에 성공적으로 할당되었는지 확인합니다( 참조Step 2.3).

Step 3.5

3.5단계: Nikki의 액세스 수준을 테스트하여 AWS 계정관리

이 단계에서는 Nikki의 액세스 수준을 확인하여 AWS 계정의 리전 설정을 관리합니다. Nikki는 계정 페이지에서 리전을 관리할 수 있는 충분한 관리자 권한만 보유해야 합니다.

  1. AWS 액세스 포털에서 계정 탭을 선택하여 계정 목록을 표시합니다. 권한 세트를 정의한 계정과 연결된 계정 이름IDs, 계정 및 이메일 주소가 나타납니다.

  2. 권한 세트를 적용한 계정 이름(예: Sandbox)을 선택합니다( 참조Step 2.3). 그러면 Nikki가 계정을 관리하기 위해 선택할 수 있는 권한 세트 목록이 확장됩니다.

  3. 다음으로 관리 콘솔을 RegionalAdmin 선택하여 RegionalAdmin 권한 세트에 정의한 역할을 수임합니다. 그러면 AWS Management Console 홈 페이지로 리디렉션됩니다.

  4. 콘솔의 오른쪽 상단 모서리 부분에서 계정 이름을 선택한 후 계정을 선택합니다. 그러면 계정 페이지로 이동합니다. 이 페이지의 다른 모든 섹션에는 해당 설정을 보거나 수정하는 데 필요한 권한이 없다는 메시지가 표시됩니다.

  5. 계정 페이지에서 AWS 리전 섹션으로 이동합니다. 표에서 사용 가능한 리전의 확인란을 선택합니다. Nikki에게 계정의 리전 목록을 활성화 또는 비활성화하는 데 필요한 권한이 있습니다.

좋습니다!

1~3단계는 SAML 연결을 성공적으로 구현하고 테스트하는 데 도움이 되었습니다. 이제 자습서를 완료하려면 4단계로 이동하여 자동 프로비저닝을 구현하는 것이 좋습니다.

4단계: SCIM 동기화 구성 및 테스트

이 단계에서는에서 사용자 정보의 자동 프로비저닝(동기화)을 설정합니다.Microsoft Entra ID SCIM v2.0 프로토콜을 사용하여 IAM Identity Center로 이동합니다. 에서이 연결을 구성합니다.Microsoft Entra ID IAM Identity Center용 SCIM 엔드포인트와 IAM Identity Center에서 자동으로 생성하는 보유자 토큰을 사용합니다.

SCIM 동기화를 구성할 때에서 사용자 속성의 매핑을 생성합니다.Microsoft Entra ID IAM Identity Center의 명명된 속성으로. 이로 인해 IAM Identity Center와 간에 예상 속성이 일치합니다.Microsoft Entra ID.

다음 단계에서는 주로에 상주하는 사용자의 자동 프로비저닝을 활성화하는 방법을 안내합니다.Microsoft Entra ID 에서 IAM Identity Center 앱을 사용하여 IAM Identity Center로 Microsoft Entra ID.

Step 4.1 >

4.1단계:에서 두 번째 테스트 사용자 생성 Microsoft Entra ID

테스트를 위해에서 새 사용자(Richard Roe)를 생성합니다.Microsoft Entra ID. 나중에 SCIM 동기화를 설정한 후이 사용자와 모든 관련 속성이 IAM Identity Center에 성공적으로 동기화되었는지 테스트합니다.

  1. Microsoft Entra 관리 센터 콘솔에서 ID > 사용자 > 모든 사용자로 이동합니다.

  2. 새 사용자를 선택한 다음 화면 상단에서 새 사용자 생성을 선택합니다.

  3. 사용자 보안 주체 이름에 RichRoe를 입력하고 원하는 도메인과 확장자를 선택합니다. 예: RichRoe@example.org.

  4. 표시 이름에 RichRoe를 입력합니다.

  5. 암호 강력한 암호를 입력하거나 눈 모양 아이콘을 선택하여 자동 생성된 암호를 표시한 다음 표시된 값을 복사하거나 기록해 둡니다.

  6. 속성을 선택하고 다음 값을 입력합니다.

    • 이름 – Richard 입력

    • 성 – Roe 입력

    • 직책 - Marketing Lead 입력

    • 부서 - Sales 입력

    • 직원 ID - 12345 입력

  7. 검토 + 생성을 선택한 후 생성을 선택합니다.

Step 4.2 >

4.2단계: IAM Identity Center에서 자동 프로비저닝 활성화

이 절차에서는 IAM Identity Center 콘솔을 사용하여에서 들어오는 사용자 및 그룹의 자동 프로비저닝을 활성화합니다.Microsoft Entra ID IAM Identity Center로 이동합니다.

  1. IAM Identity Center 콘솔을 열고 왼쪽 탐색 창에서 설정을 선택합니다.

  2. 설정 페이지의 ID 소스 탭에서 프로비저닝 방법이 수동으로 설정되어 있는지 확인합니다.

  3. 자동 프로비저닝 정보 상자를 찾은 다음 활성화를 선택합니다. 그러면 IAM Identity Center에서 자동 프로비저닝이 즉시 활성화되고 필요한 SCIM 엔드포인트 및 액세스 토큰 정보가 표시됩니다.

  4. 인바운드 자동 프로비저닝 대화 상자에서 다음 옵션의 각 값을 복사합니다. 에서 프로비저닝을 구성할 때 다음 단계에 이를 붙여넣어야 합니다.Microsoft Entra ID.

    1. SCIM 엔드포인트 - 예: https://scim.us-east-2.amazonaws.com/11111111111-2222-3333-4444-555555555555/scim/v2

    2. 액세스 토큰 - 토큰 표시를 선택하여 값을 복사합니다.

    주의

    엔드포인트SCIM와 액세스 토큰을 얻을 수 있는 유일한 시간입니다. 계속 진행하기 전에 이 값을 복사해야 합니다.

  5. 닫기를 선택하세요.

  6. 자격 증명 소스 탭에서 이제 프로비저닝 메서드가 로 설정되어 있습니다SCIM.

Step 4.3 >

4.3단계:에서 자동 프로비저닝 구성 Microsoft Entra ID

이제 RichRoe 테스트 사용자가 있고 IAM Identity CenterSCIM에서를 활성화했으므로에서 SCIM 동기화 설정을 구성할 수 있습니다.Microsoft Entra ID.

  1. Microsoft Entra 관리 센터 콘솔에서 ID > 애플리케이션 > 엔터프라이즈 애플리케이션으로 이동한 다음 AWS IAM Identity Center을 선택합니다.

  2. 프로비저닝을 선택하고 관리에서 프로비저닝을 다시 선택합니다.

  3. 프로비저닝 모드에서 자동을 선택합니다.

  4. 관리 자격 증명의 테넌트URL에서 이전에에서 복사한 SCIM 엔드포인트 URL 값을 붙여 넣습니다Step 4.2. 비밀 토큰에 액세스 토큰 값을 붙여 넣습니다.

  5. [Test Connection]을 선택합니다. 테스트된 보안 인증 정보에 프로비저닝 활성화가 성공적으로 승인되었다는 메시지가 표시되어야 합니다.

  6. 저장(Save)을 선택합니다.

  7. 관리에서 사용자 및 그룹을 선택한 다음 사용자/그룹 추가를 선택합니다.

  8. 할당 추가 페이지의 사용자에서 선택된 항목 없음을 선택합니다.

  9. RichRoe를 선택한 다음 선택을 선택합니다.

  10. Add Assignment(할당 추가) 페이지에서 Assign(할당)을 선택합니다.

  11. 개요를 선택한 다음 프로비저닝 시작을 선택합니다.

Step 4.4

4.4단계: 동기화가 발생했는지 확인

이 섹션에서는 Richard의 사용자가 성공적으로 프로비저닝되었고 모든 속성이 IAM Identity Center에 표시되는지 확인합니다.

  1. IAM Identity Center 콘솔에서 사용자를 선택합니다.

  2. 사용자 페이지에서 RichRoe 사용자가 표시됩니다. 작성자 열에서 값은 로 설정됩니다SCIM.

  3. 프로필에서 RichRoe를 선택하고 다음 속성이에서 복사되었는지 확인합니다.Microsoft Entra ID.

    • 이름 - Richard

    • 성 - Roe

    • 부서 - Sales

    • 직책 - Marketing Lead

    • 직원 번호 - 12345

    이제 Richard의 사용자가 IAM Identity Center에서 생성되었으므로 리소스에 대한 액세스 수준을 제어할 수 있도록 모든 권한 세트에 할당할 수 있습니다 AWS . 예를 들어 이전에 사용한 RegionalAdmin 권한 세트에 RichRoe를 할당하여 Nikki에 리전을 관리할 수 있는 권한을 부여한 다음( 참조Step 2.3)를 사용하여 액세스 수준을 테스트할 수 있습니다Step 3.5.

축하합니다!

Microsoft AWS 와 간의 SAML 연결을 성공적으로 설정했고 자동 프로비저닝이 모든 것을 동기화된 상태로 유지하기 위해 작동하는지 확인했습니다. 이제 학습한 내용을 적용하여 프로덕션 환경을 보다 원활하게 설정할 수 있습니다.

5단계: 구성 ABAC - 선택 사항

이제 SAML 및를 성공적으로 구성했으므로 선택적으로 속성 기반 액세스 제어()를 구성하도록 선택할 SCIM수 있습니다ABAC. ABAC는 속성을 기반으로 권한을 정의하는 권한 부여 전략입니다.

With Microsoft Entra ID, 다음 두 방법 중 하나를 사용하여 IAM Identity CenterABAC와 함께 사용하도록를 구성할 수 있습니다.

Configure user attributes in Microsoft Entra ID for access control in IAM Identity Center

에서 사용자 속성 구성 Microsoft Entra ID IAM Identity Center의 액세스 제어

다음 절차에서는의 속성을 결정합니다.Microsoft Entra ID 는 IAM Identity Center에서 AWS 리소스에 대한 액세스를 관리하는 데 사용해야 합니다. 정의되면 Microsoft Entra ID 는 SAML어설션을 통해 이러한 속성을 IAM Identity Center로 전송합니다. 그런 다음 IAM Identity Center권한 집합을 생성합니다.에서에서 전달한 속성을 기반으로 액세스를 관리해야 합니다.Microsoft Entra ID.

이 절차를 시작하기 전에 먼저 액세스 제어를 위한 속성 기능을 활성화해야 합니다. 이 작업을 수행하는 방법에 대한 자세한 내용은 액세스 제어를 위한 속성 활성화 및 구성 단원을 참조하세요.

  1. Microsoft Entra 관리 센터 콘솔에서 ID > 애플리케이션 > 엔터프라이즈 애플리케이션으로 이동한 다음 AWS IAM Identity Center을 선택합니다.

  2. Single Sign-On을 선택합니다.

  3. 속성 및 클레임 섹션에서 편집을 선택합니다.

  4. 속성 및 클레임 페이지에서 다음을 수행합니다.

    1. 새 클레임 추가를 선택합니다.

    2. 이름에 AccessControl:AttributeName을 입력합니다. AttributeName를 IAM Identity Center에서 예상하는 속성의 이름으로 바꿉니다. 예: AccessControl:Department.

    3. 네임스페이스(Namespace)에https://aws.amazon.com/SAML/Attributes를 입력합니다.

    4. 소스(Source)에서 속성(Attribute)를 선택합니다.

    5. 소스 속성에서 드롭다운 목록을 사용하여 Microsoft Entra ID 사용자 속성. 예: user.department.

  5. SAML 어설션에서 IAM Identity Center로 전송해야 하는 각 속성에 대해 이전 단계를 반복합니다.

  6. 저장(Save)을 선택합니다.

Configure ABAC using IAM Identity Center

IAM Identity CenterABAC를 사용하여 구성

이 방법을 사용하면 IAM Identity Center의 액세스 제어를 위한 속성 기능을 사용하여 Name 속성이 로 설정된 Attribute 요소를 전달합니다https://aws.amazon.com/SAML/Attributes/AccessControl:{TagKey}. 이 요소를 사용하여 SAML어설션에서 속성을 세션 태그로 전달할 수 있습니다. 세션 태그에 대한 자세한 내용은 IAM 사용 설명서의 에서 세션 태그 전달 AWS STS을 참조하세요.

속성을 세션 태그로 전달하려면 태그 값을 지정하는 AttributeValue 요소를 포함합니다. 예를 들어, 태그 키-값 쌍 Department=billing를 전달하려면 다음 속성을 사용합니다.

<saml:AttributeStatement>
<saml:Attribute Name="https://aws.amazon.com/SAML/Attributes/AccessControl:Department">
<saml:AttributeValue>billing
</saml:AttributeValue>
</saml:Attribute>
</saml:AttributeStatement>

여러 속성을 추가해야 하는 경우 각 태그마다 별도의 Attribute 요소를 포함합니다.

에 액세스 권한 할당 AWS 계정

다음 단계는에 대한 액세스 권한만 부여하는 데 AWS 계정 만 필요합니다. 이러한 단계는 AWS 애플리케이션에 대한 액세스 권한을 부여하는 데 필요하지 않습니다.

1단계: IAM Identity Center: 권한 부여 Microsoft Entra ID 계정에 대한 사용자 액세스

  1. IAM Identity Center 콘솔로 돌아갑니다. IAM Identity Center 탐색 창의 다중 계정 권한에서를 선택합니다AWS 계정.

  2. AWS 계정 페이지의 조직 구조에는 조직 루트가 표시되고 계층 구조에 따라 그 아래에 사용자 계정이 표시됩니다. 관리 계정의 확인란을 선택한 다음 사용자 또는 그룹 할당을 선택합니다.

  3. 사용자 및 그룹 할당 워크플로가 표시됩니다. 워크플로는 세 단계로 구성됩니다.

    1. 1단계: 사용자 및 그룹 선택에서 관리자 작업을 수행할 사용자를 선택합니다. 그런 다음 다음을 선택합니다.

    2. 2단계: 권한 세트 선택에서 권한 세트 생성을 선택하여 권한 세트 생성과 관련된 3가지 하위 단계를 안내하는 새 탭이 열립니다.

      1. 1단계: 권한 세트 유형 선택에서 다음을 완료합니다.

        • 권한 세트 유형에서 사전 정의된 권한 세트를 선택합니다.

        • 사전 정의된 권한 세트에 대한 정책에서를 선택합니다AdministratorAccess.

        Next(다음)를 선택합니다.

      2. 2단계: 권한 세트 세부 정보 지정 페이지에서 기본 설정을 유지하고 다음을 선택합니다.

        기본 설정은 세션 기간이 1시간AdministratorAccess으로 설정된 라는 권한 세트를 생성합니다.

      3. 3단계: 검토 및 생성의 경우 권한 세트 유형이 AWS 관리형 정책를 사용하는지 확인합니다AdministratorAccess. 생성(Create)을 선택합니다. 권한 세트 페이지에 권한 세트가 생성되었음을 알리는 알림이 표시됩니다. 이제 웹 브라우저에서 이 탭을 닫을 수 있습니다.

      4. 사용자 및 그룹 할당 브라우저 탭에서 권한 세트 생성 워크플로를 시작한 2단계: 권한 세트 선택에 여전히 있습니다.

      5. 권한 세트 영역에서 새로 고침 버튼을 선택합니다. 생성한 AdministratorAccess 권한 세트가 목록에 나타납니다. 권한 세트의 확인란을 선택하고 다음을 선택합니다.

    3. 3단계: 검토 및 제출에서 선택한 사용자 및 권한 세트를 검토한 다음 제출을 선택합니다.

      페이지는 구성 AWS 계정 중인 메시지로 업데이트됩니다. 프로세스가 완료될 때까지 기다립니다.

      AWS 계정 페이지로 돌아갑니다. 알림 메시지는가 재프로비저닝되었고 업데이트된 권한 세트 AWS 계정 가 적용되었음을 알려줍니다. 사용자가 로그인하면 AdministratorAccess 역할을 선택할 수 있습니다.

2단계: Microsoft Entra ID: 확인 Microsoft Entra IDAWS 리소스에 대한 사용자 액세스

  1. 로 돌아가기 Microsoft Entra ID 콘솔에서 IAM Identity Center SAML기반 로그인 애플리케이션으로 이동합니다.

  2. 사용자 및 그룹을 선택하고 사용자 또는 그룹 추가를 선택합니다. 4단계에서이 자습서에서 생성한 사용자를에 추가합니다.Microsoft Entra ID 애플리케이션을 배포합니다. 사용자를 추가하면 사용자가 로그인할 수 있습니다 AWS. 4단계에서 생성한 사용자를 검색합니다. 이 단계를 따랐다면 입니다RichardRoe.

    1. 데모는 를 사용하여 기존 IAM Identity Center 인스턴스 연동을 참조하세요.Microsoft Entra ID

문제 해결

를 사용한 일반 SCIM 및 SAML 문제 해결 Microsoft Entra ID에서 다음 섹션을 참조하세요.

와의 동기화 문제 Microsoft Entra ID 및 IAM Identity Center

에 문제가 있는 경우 Microsoft Entra ID 사용자가 IAM Identity Center에 동기화되지 않는 경우 새 사용자가 IAM Identity Center에 추가될 때 IAM Identity Center에 플래그가 지정된 구문 문제로 인한 것일 수 있습니다. 를 확인하여 이를 확인할 수 있습니다.Microsoft Entra ID 와 같은 실패한 이벤트에 대한 감사 로그입니다'Export'. 이 이벤트의 상태 설명에는 다음과 같은 내용이 나와 있습니다.

{"schema":["urn:ietf:params:scim:api:messages:2.0:Error"],"detail":"Request is unparsable, syntactically incorrect, or violates schema.","status":"400"}

AWS CloudTrail 실패한 이벤트를 확인할 수도 있습니다. 이 작업은 다음 필터를 CloudTrail 사용하여 이벤트 기록 콘솔에서 검색하여 수행할 수 있습니다.

"eventName":"CreateUser"

CloudTrail 이벤트의 오류는 다음과 같습니다.

"errorCode": "ValidationException",
        "errorMessage": "Currently list attributes only allow single item“

궁극적으로이 예외는에서 전달된 값 중 하나를 의미합니다.Microsoft Entra ID 에 예상보다 많은 값이 포함되어 있습니다. 해결 방법은에서 사용자의 속성을 검토하는 것입니다.Microsoft Entra ID중복 값이 포함되지 않도록 합니다. 값이 중복되는 일반적인 예로는 휴대폰, 회사, 팩스 등의 연락처 번호에 여러 개의 값이 있는 경우를 들 수 있습니다. 별도의 값이긴 하지만 모두 단일 상위 속성 로 IAM Identity Center에 전달됩니다phoneNumbers.

일반적인 SCIM 문제 해결 팁은 문제 해결을 참조하세요.

Microsoft Entra ID 게스트 계정 동기화

를 동기화하려는 경우 Microsoft Entra ID IAM Identity Center로 사용자를 초대하려면 다음 절차를 참조하세요.

Microsoft Entra ID 게스트 사용자의 이메일이 Microsoft Entra ID 사용자. 이 차이는 동기화를 시도할 때 문제를 일으킵니다.Microsoft Entra ID IAM Identity Center를 사용하는 게스트 사용자. 예를 들어 게스트 사용자의 다음 이메일 주소를 참조하세요.

exampleuser_domain.com#EXT@domain.onmicrosoft.com.

IAM Identity Center는 사용자의 이메일 주소에 EXT@domain 형식이 포함되지 않을 것으로 예상합니다.

  1. Microsoft Entra 관리 센터에 로그인하고 ID > 애플리케이션 > 엔터프라이즈 애플리케이션으로 이동한 다음 AWS IAM Identity Center을 선택합니다.

  2. 왼쪽 창의 Single Sign On 탭으로 이동합니다.

  3. 사용자 속성 및 클레임 옆에 나타나는 편집을 선택합니다.

  4. 필수 클레임 다음에 고유 사용자 식별자(이름 ID)를 선택합니다.

  5. 에 대해 두 개의 클레임 조건을 생성합니다.Microsoft Entra ID 사용자 및 게스트 사용자:

    1. 의 경우 Microsoft Entra ID 사용자, 소스 속성이 로 설정된 멤버의 사용자 유형을 생성합니다 user.userprincipalname.

    2. 의 경우 Microsoft Entra ID 게스트 사용자, 소스 속성이 로 설정된 외부 게스트의 사용자 유형을 생성합니다user.mail.

    3. 저장을 선택하고 로 로그인을 다시 시도합니다.Microsoft Entra ID 게스트 사용자.

추가 리소스

다음 리소스는 작업 시 문제를 해결하는 데 도움이 될 수 있습니다. AWS

  • AWS re:Post - 문제를 해결하는 데 도움이 되는 FAQs 및 다른 리소스에 대한 링크를 찾습니다.

  • AWS Support-기술 지원 받기