Criar um perfil para uma federação do SAML 2.0 (console)

Antes de criar uma função para federação baseada em SAML, você deve criar um provedor SAML no IAM. Para ter mais informações, consulte Criar um provedor de identidades SAML no IAM.

Prepare as políticas para a função que os usuários autenticados pelo SAML 2.0 assumirão. Assim como com qualquer função, uma função para a federação do SAML inclui duas políticas. Uma é a política de confiança da função que especifica quem pode assumir a função. A outra é a política de permissões do IAM que especifica as ações e os recursos da AWS aos quais o usuário federado tem ou não permissão para acessar.

Quando você criar a política de confiança para sua função, deverá usar três valores para garantir que a função só possa ser assumida por sua aplicação:

A política de confiança de exemplo a seguir foi projetada para um usuário federado do SAML:

{
    "Version": "2012-10-17",
    "Statement": {
      "Effect": "Allow",
      "Action": "sts:AssumeRoleWithSAML",
      "Principal": {"Federated": "arn:aws:iam::account-id:saml-provider/PROVIDER-NAME"},
      "Condition": {"StringEquals": {"SAML:aud": "https://signin.aws.amazon.com/saml"}}
    }
  }

Substitua o ARN da entidade de segurança pelo ARN real do provedor SAML que você criou no IAM. Ele terá seu próprio ID de conta e nome de provedor.

Faça login no AWS Management Console e abra o console do IAM em https://console.aws.amazon.com/iam/.

No painel de navegação do console do IAM, escolha Roles (Funções) e Criar função (Create role).

Escolha o tipo de função Federação SAML 2.0.

Em SAML Provider (Provedor SAML), escolha o provedor para a função.

Escolha o método de nível de acesso SAML 2.0.

As funções criadas por ambos são semelhantes, mas a função que também pode ser assumida no console inclui uma política de confiança com uma determinada condição. Essa condição garante explicitamente que o público de SAML (atributo SAML:aud) seja definido como o endpoint de login da AWS para SAML (https://signin.aws.amazon.com/saml).

Se estiver criando uma função para acesso programático, escolha um atributo na lista Atributo. Em seguida, na caixa Value (Valor), insira um valor a ser incluído na função. Isso restringe o acesso à função a usuários do provedor de identidade cuja resposta de autenticação SAML (declaração) inclua os atributos especificados. Você deve especificar pelo menos um atributo para garantir que sua função seja limitada a um subconjunto de usuários em sua organização.

Se você estiver criando uma função para acesso programático e do console, o atributo SAML:aud será adicionado automaticamente e definido como o URL do endpoint da SAML AWS (https://signin.aws.amazon.com/saml).

Para adicionar à política de confiança mais condições relacionadas a atributos, escolha Condition (optional) (Adicionar condições [opcional]), selecione a condição adicional e especifique um valor.

Revise as informações de confiança do SAML 2.0 e, em seguida, escolha Next (Avançar).

O IAM inclui uma lista das políticas gerenciadas pela AWS e pelo cliente em sua conta. Selecione a política a ser usada para a política de permissões ou escolha Create policy (Criar política) para abrir uma nova guia no navegador e criar uma nova política a partir do zero. Para ter mais informações, consulte Criação de políticas do IAM. Depois de criar a política, feche essa guia e retorne à guia original. Marque a caixa de seleção ao lado das políticas de permissões que deseja que os usuários federados OIDC tenham. Se preferir, você pode optar por não selecionar nenhuma política neste momento e anexar as políticas à função mais tarde. Por padrão, uma função não tem nenhuma permissões.

(Opcional) Defina um limite de permissões. Este é um recurso avançado.

Abra a seção Set permissions boundary (Definir limite de permissões) e escolha Use a permissions boundary to control the maximum role permissions (Usar um limite de permissões para controlar o número máximo de permissões de função). Selecione a política a ser usada para o limite de permissões.

Escolha Próximo.

Selecione Next: Review (Próximo: revisar).

Em Role name (Nome da função), insira um nome. Os nomes de função devem ser exclusivos em sua Conta da AWS. Eles não são diferenciados por letras maiúsculas e minúsculas. Por exemplo, não é possível criar perfis denominados PRODROLE e prodrole. Como outros recursos de AWS podem fazer referência à função, não é possível editar o nome da função depois de ela ser criada.

(Opcional) Em Description (Descrição), insira uma descrição para a nova função.

Escolha Edit (Editar) nas seções Etapa 1: selecionar entidades confiáveis ou na Etapa 2: adicionar permissões para editar os casos de uso e as permissões para a função.

(Opcional) Adicione metadados à função anexando tags como pares de chave-valor. Para obter mais informações sobre como usar tags no IAM, consulte Tags para recursos do AWS Identity and Access Management.

Revise o perfil e escolha Criar perfil.