As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Configurando a sincronização de e-mail para usuários federados na Amazon QuickSight

Na edição Amazon QuickSight Enterprise, como administrador, você pode impedir que novos usuários usem endereços de e-mail pessoais ao provisionar por meio de seu provedor de identidade (IdP) diretamente para. QuickSight QuickSight em seguida, usa os endereços de e-mail pré-configurados passados pelo IdP ao provisionar novos usuários para sua conta. Por exemplo, você pode fazer com que somente endereços de e-mail atribuídos pela empresa sejam usados quando os usuários forem provisionados para sua conta QuickSight por meio do seu IdP.

Quando você configura a sincronização de e-mail para usuários federados em QuickSight, os usuários que fazem login na sua QuickSight conta pela primeira vez têm endereços de e-mail pré-atribuídos. Eles são usados para registrar as contas desses usuários. Com essa abordagem, os usuários podem ignorar manualmente inserindo um endereço de e-mail. Além disso, os usuários não podem usar um endereço de e-mail que possa ser diferente do prescrito por você, o administrador.

QuickSight oferece suporte ao provisionamento por meio de um IdP que oferece suporte à autenticação SAML OpenID Connect (). OIDC Para configurar endereços de e-mail para novos usuários ao provisionar por meio de um IdP, você atualiza a relação de confiança da IAM função que eles usam com ou. AssumeRoleWithSAML AssumeRoleWithWebIdentity Em seguida, você adiciona um SAML atributo ou OIDC token em seu IdP. Por último, você ativa a sincronização de e-mail para usuários federados em. QuickSight

Os procedimentos a seguir descrevem essas etapas em detalhes.

Etapa 1: atualizar a relação de confiança da IAM função com AssumeRoleWithSAML or AssumeRoleWithWebIdentity

Você pode configurar endereços de e-mail para que seus usuários usem ao provisionar por meio de seu IdP para. QuickSight Para fazer isso, adicione a sts:TagSession ação à relação de confiança da IAM função que você usa com AssumeRoleWithSAML ouAssumeRoleWithWebIdentity. Ao fazer isso, você pode transferir tags de principal quando os usuários assumirem o perfil.

O exemplo a seguir ilustra uma IAM função atualizada em que o IdP é Okta. Para usar esse exemplo, atualize o Federated Amazon Resource Name (ARN) com o do ARN seu provedor de serviços. Você pode substituir itens em vermelho por suas informações específicas do serviço AWS e do IdP.

{
    "Version": "2012-10-17",
    "Statement": [
    {
        "Effect": "Allow",
        "Principal": {
        "Federated": "arn:aws:iam::account-id:saml-provider/Okta"
        },
        "Action": "sts:AssumeRoleWithSAML",
        "Condition": {
        "StringEquals": {
            "SAML:aud": "https://signin.aws.amazon.com/saml"
        }
        }
    },
    {
        "Effect": "Allow",
        "Principal": {
        "Federated": "arn:aws:iam::account-id:saml-provider/Okta"
        },
        "Action": "sts:TagSession",
        "Condition": {
        "StringLike": {
            "aws:RequestTag/Email": "*"
        }
        }
    }
    ]
    }

Etapa 2: adicionar um SAML atributo ou OIDC token para a tag IAM principal em seu IdP

Depois de atualizar a relação de confiança da IAM função, conforme descrito na seção anterior, adicione um SAML atributo ou OIDC token para a IAM Principal tag em seu IdP.

Os exemplos a seguir ilustram um SAML atributo e um OIDC token. Para usar esses exemplos, substitua o endereço de e-mail por uma variável no seu IdP que aponte para o endereço de e-mail de um usuário. Você pode substituir os itens destacados em vermelho pelas suas informações.

Etapa 3: ativar a sincronização de e-mail para usuários federados no QuickSight

Conforme descrito anteriormente, atualize a relação de confiança da IAM função e adicione um SAML atributo ou OIDC token para a IAM Principal tag em seu IdP. Em seguida, ative a sincronização de e-mail para usuários federados QuickSight conforme descrito no procedimento a seguir.