View a markdown version of this page

Regras de declaração do AD FS e configurações de SAML - Guia do usuário avançado do AMS
Configurações de regras de declaração do ADFSConsole webAcesso à API e CLI com SAML

Aviso de fim do suporte: em 30 de junho de 2027, o suporte para o AMS Advanced AWS será encerrado. Depois de 30 de junho de 2027, você não poderá mais acessar o console AMS Advanced ou os recursos do AMS Advanced. Para obter mais informações, consulte Fim do suporte avançado do AMS.

As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Regras de declaração do AD FS e configurações de SAML

ActiveDirectory Regras de declaração dos Serviços de Federação (AD FS) e configurações de SAML para AWS Managed Services (AMS)

Para obter instruções detalhadas passo a passo sobre como instalar e configurar o AD FS, consulte Habilitando a federação na AWS usando o Windows Active Directory, o ADFS e o SAML 2.0.

Configurações de regras de declaração do ADFS

Se você já tiver uma implementação do ADFS, configure o seguinte:

  • Confiança de partes fidedignas

  • Regras de reivindicações

As etapas das regras de confiança e reivindicações da parte confiável foram tomadas do blog Habilitando a federação para a AWS usando o Windows Active Directory, AD FS e SAML 2.0

  • Regras de reivindicações:

    • Nameid: Configuração por postagem de blog

    • RoleSessionName: Configure da seguinte forma

      • Nome da regra de reivindicação: RoleSessionName

      • Armazenamento de atributos: Active Directory

      • Atributo LDAP: SAM-Account-Name

      • Tipo de reclamação de saída: https://aws.amazon.com/SAML/Attributes/RoleSessionName

      • Obtenha grupos do AD: configuração por postagem de blog

      • Reivindicação de função: configure da seguinte forma

        
c:[Type == "http://temp/variable", Value =~ "(?i)^AWS-([\d]{12})-"]

        
=> issue(Type = "https://aws.amazon.com/SAML/Attributes/Role", Value = RegExReplace(c.Value, "AWS-([\d]{12})-", "arn:aws:iam::$1:saml-provider/customer-readonly-saml,arn:aws:iam::$1:role/"));

Console web

Você pode acessar o console web da AWS usando o link abaixo, [ADFS-FQDN] substituindo-o pelo FQDN da sua implementação do ADFS.

https://[ADFS-FQDN]/adfs/ls/IdpInitiatedSignOn.aspx

Seu departamento de TI pode implantar o link acima para a população de usuários por meio de uma Política de Grupo.

Acesso à API e CLI com SAML

Como configurar o acesso à API e à CLI com SAML.

Os pacotes python são provenientes das postagens do blog abaixo:

Configuração do script

  1. Usando o Notepad++, altere a região padrão para a região correta

  2. Usando o Notepad ++, desative a verificação SSL para ambientes de teste e desenvolvimento

  3. Usando o Notepad ++, configure idpentryurl

    https://[ADFS-FDQN]/adfs/ls/IdpInitiatedSignOn.aspx?loginToRp=urn:amazon:webservices

Configuração do Windows

As instruções abaixo são para os pacotes python. As credenciais geradas serão válidas por 1 hora.

  1. Baixe e instale o python (2.7.11)

  2. Baixe e instale as ferramentas da AWS CLI

  3. Instale o AMS CLI:

    1. Faça o download do arquivo zip distribuível do AMS fornecido pelo seu gerenciador de entrega de serviços em nuvem (CSDM) e descompacte-o.

      Vários diretórios e arquivos são disponibilizados.

    2. Abra o diretório Managed Cloud Distributables -> CLI -> Windows ou o diretório Managed Cloud Distributables -> CLI -> Linux/macOS, dependendo do seu sistema operacional, e:

      Para Windows, execute o instalador apropriado (esse método só funciona em sistemas Windows de 32 ou 64 bits):

      • 32 bits: ManagedCloud API_x86.msi

      • 64 bits: ManagedCloud API_x64.msi

      Para Mac/Linux, execute o arquivo chamado: MC_ CLI.sh. Você pode fazer isso executando este comando:sh MC_CLI.sh. Observe que os diretórios amscm e amsskms e seu conteúdo devem estar no mesmo diretório do arquivo MC_. CLI.sh

    3. Se suas credenciais corporativas forem usadas via federação com a AWS (a configuração padrão do AMS), você deverá instalar uma ferramenta de gerenciamento de credenciais que possa acessar seu serviço de federação. Por exemplo, você pode usar este blog de segurança da AWS Como implementar API federada e acesso à CLI usando SAML 2.0 e AD FS para ajudar a configurar suas ferramentas de gerenciamento de credenciais.

    4. Após a instalação, execute aws amscm help e veja aws amsskms help os comandos e as opções.

  4. Baixe o script SAML necessário

    Faça o download em c:\aws\scripts

  5. Baixar PIP

    Faça o download em c:\aws\downloads

  6. Usando PowerShell, instale o PIP

    <pythondir>. \ python.exe c:\aws\downloads\get -pip.py

  7. Usando PowerShell, instale o módulo boto

    inicialização de<pythondir\ scripts> instalação de pip

  8. Usando PowerShell, instale o módulo de solicitações

    solicitações de<pythondir\ scripts> instalação de pip

  9. Usando PowerShell, instale o módulo de segurança de solicitações

    <pythondir\ scripts>solicitações de instalação de pip [segurança]

  10. Usando PowerShell, instale um lindo módulo de sopa

    <pythondir\ scripts>pip install beautifulsoup4

  11. Usando PowerShell, crie uma pasta chamada .aws no perfil do usuário (%userprofile%\ .aws)

    mkdir.aws

  12. Usando PowerShell, crie um arquivo de credencial na pasta .aws

    New-Item credenciais -tipo de arquivo —force

    O arquivo de credenciais não deve ter uma extensão de arquivo

    O nome do arquivo deve estar todo em minúsculas e ter as credenciais do nome

  13. Abra o arquivo de credenciais com o bloco de notas e cole os seguintes dados, especificando a região correta

    
[default]
output = json
region = us-east-1
aws_access_key_id = 
aws_secret_access_key =

  14. Usando PowerShell o script SAML e o logon

    <pythondir>. \ python.exe c:\aws\scripts\samlapi.py

    Nome de usuário: [NOME DE USUÁRIO] @upn

    Escolha a função que você gostaria de assumir

Configuração do Linux

As credenciais geradas serão válidas por 1 hora.

  1. Usando o WinSCP, transfira o script SAML

  2. Usando o WinSCP, transfira o certificado CA raiz (ignore para teste e desenvolvimento)

  3. Adicione a CA raiz aos certificados raiz confiáveis (ignore para teste e desenvolvimento)

    $ openssl x509 -inform der -in [certname] .cer -out certificate.pem (ignore para teste e desenvolvimento)

    Adicione o conteúdo de certificate.pem ao final do arquivo/etc/ssl/certs/ca-bundle.crt (ignore para teste de desenvolvimento)

  4. Crie a pasta.aws em home/ec2 -user 5

    
[default]
output = json
region = us-east-1
aws_access_key_id = 
aws_secret_access_key =

  5. Usando o WinSCP, transfira o arquivo de credenciais para a pasta.aws

  6. Instale o módulo de inicialização

    Inicialização de instalação do $ sudo pip

  7. Módulo de solicitações de instalação

    Solicitações de instalação do $ sudo pip

  8. Instale o módulo beautifulsoup

    $ sudo pip install beautifulsoup4

  9. Copie o script para home/ec2 -user

    Defina as permissões necessárias

    Execute o script: samlapi.py