Tutorial: federação de identidades da Amazon QuickSight e do IAM

Faça login no painel do Okta. Se você não tiver uma, crie uma conta gratuita do Okta Developer Edition usando esse URL QuickSight de marca. Depois de ativar seu e-mail, faça login no Okta.

No site do Okta, escolha <> Developer Console no canto superior esquerdo e selecione Classic UI.

Escolha Add Applications e Add app.

Insira aws em Search e escolha AWS Account Federation nos resultados da pesquisa.

Escolha Add para criar uma instância dessa aplicação.

Em Application label, insira AWS Account Federation - QuickSight.

Escolha Próximo.

Em SAML 2.0, Default Relay State, insira https://quicksight.aws.amazon.com.

Abra o menu de contexto (clique com o botão direito do mouse) em Identity Provider metadata e escolha salvar o arquivo. Nomeie o arquivo metadata.xml. Você precisará dele para o próximo procedimento.

O conteúdo do arquivo é semelhante ao seguinte:

<md:EntityDescriptor xmlns:md="urn:oasis:names:tc:SAML:2.0:metadata" entityID="http://www.okta.com/exkffz2hATwiVft645d5">
    <md:IDPSSODescriptor WantAuthnRequestsSigned="false" protocolSupportEnumeration="urn:oasis:names:tc:SAML:2.0:protocol">
    <md:KeyDescriptor use="signing">
        <ds:KeyInfo xmlns:ds="http://www.w3.org/2000/09/xmldsig#">
        <ds:X509Data>
            <ds:X509Certificate>
            MIIDpjCCAo6gAwIBAgIGAXVjA82hMA0GCSqGSIb3DQEBCwUAMIGTMQswCQYDVQQGEwJVUzETMBEG 
            . 
            .        (certificate content omitted)
            . 
            QE/6cRdPQ6v/eaFpUL6Asd6q3sBeq+giRG4=
            </ds:X509Certificate>
        </ds:X509Data>
        </ds:KeyInfo>
    </md:KeyDescriptor>
    <md:NameIDFormat>urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress</md:NameIDFormat>
    <md:NameIDFormat>urn:oasis:names:tc:SAML:2.0:nameid-format:unspecified</md:NameIDFormat>
    <md:SingleSignOnService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" Location="https://dev-1054988.okta.com/app/amazon_aws/exkffz2hATwiVft645d5/sso/saml"/>
    <md:SingleSignOnService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect" Location="https://dev-1054988.okta.com/app/amazon_aws/exkffz2hATwiVft645d5/sso/saml"/>
    </md:IDPSSODescriptor>
    </md:EntityDescriptor>

Depois de salvar o arquivo XML, vá até o final da página do Okta e escolha Done.

Mantenha essa janela do navegador aberta, se possível. Você precisará dela posteriormente no tutorial.

Faça login no AWS Management Console e abra o console do IAM em https://console.aws.amazon.com/iam/.

No painel de navegação, escolha Provedores de identidades, Criar provedor.

Insira as seguintes configurações:

Escolha Próximo passo, Criar.

Localize o IdP que você criou e selecione-o para visualizar as configurações. Anote o ARN do provedor. Você precisa disso para concluir o tutorial.

Verifique se o provedor de identidades foi criado com suas configurações. No IAM, escolha Provedores de identidades, Okta (o IdP que você adicionou), Baixar metadados. O arquivo deve ser o que você carregou recentemente.

Faça login no AWS Management Console e abra o console do IAM em https://console.aws.amazon.com/iam/.

No painel de navegação, selecione Funções e Criar função.

Em Selecionar tipo de entidade confiável, escolha o cartão rotulado como Federação SAML 2.0.

Em Provedor SAML, selecione o IdP criado no procedimento anterior, por exemplo, Okta.

Ative a opção Permitir acesso programático e ao console AWS de gerenciamento.

Escolha Próximo: Permissões.

Cole a política a seguir no editor.

No editor da política, atualize o JSON com o nome do recurso da Amazon (ARN) do seu provedor.

{
    "Version": "2012-10-17",
    "Statement": [
    {
        "Effect": "Allow",
        "Action": "sts:AssumeRoleWithSAML",
        "Resource": "arn:aws:iam::111111111111:saml-provider/Okta",
        "Condition": {
        "StringEquals": {
            "saml:aud": "https://signin.aws.amazon.com/saml"
        }
        }
    }
    ]
    }

Escolha Revisar política.

Em Nome, insira e QuicksightOktaFederatedPolicy e selecione Create policy (Criar política).

Escolha Criar política, JSON pela segunda vez.

Cole a política a seguir no editor.

No editor de políticas, atualize o JSON com seu Conta da AWS ID. Deve ser o mesmo ID de conta que você usou na política anterior no ARN do provedor.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "quicksight:CreateReader"
            ],
            "Effect": "Allow",
            "Resource": [
                "arn:aws:quicksight::111111111111:user/${aws:userid}"
            ]
        }
    ]
    }

Você pode omitir o Região da AWS nome no ARN, conforme mostrado a seguir.

arn:aws:quicksight::111111111111:user/$${aws:userid}

Escolha Revisar política.

Em Nome, insira e QuicksightCreateReader e selecione Create policy (Criar política).

Atualize a lista de políticas escolhendo o ícone de atualização à direita.

Em Pesquisar, insira QuicksightOktaFederatedPolicy. Escolha a política para habilitá-la ( ).

Se você não quiser usar o provisionamento automático, ignore a etapa a seguir.

Para adicionar um QuickSight usuário, use register-user. Para adicionar um QuickSight grupo, use create-group. Para adicionar usuários ao QuickSight grupo, use create-group-membership.

(Opcional) Em Pesquisar, insira QuicksightCreateReader. Escolha a política para habilitá-la ( ).

Execute essa etapa se quiser provisionar QuickSight usuários automaticamente, em vez de usar a QuickSight API.

A política QuicksightCreateReader ativa o provisionamento automático ao permitir o uso da ação quicksight:CreateReader. Isso concede aos assinantes do painel (nível de leitor) acesso aos usuários iniciantes. Posteriormente, um QuickSight administrador pode atualizá-los no menu de QuickSight perfil, Gerenciar QuickSight, Gerenciar usuários.

Para continuar anexando as políticas ou a política do IAM, escolha Próximo: tags.

Escolha Próximo: revisar.

Em Nome do perfil, insira QuicksightOktaFederatedRole e escolha Criar perfil.

Verifique se você concluiu essa parte com êxito seguindo as seguintes etapas:

1. Volte para a página principal do console do IAM em https://console.aws.amazon.com/iam/. Você pode usar o botão Voltar do seu navegador.

2. Escolha Perfis.

3. Em Pesquisar, insira Okta. QuicksightOktaFederatedRoleEscolha entre os resultados da pesquisa.

4. Na página Resumo da política, examine a guia Permissões. Verifique se o perfil tem a política ou as políticas que você anexou a ele. Ele deve ter QuicksightOktaFederatedPolicy. Se você optou por adicionar a capacidade de criar usuários, também deve ter QuicksightCreateReader.

5. Use o ícone para abrir cada política. Verifique se o texto corresponde ao que é mostrado neste procedimento. Verifique novamente se você adicionou seu próprio Conta da AWS número no lugar do número de conta de exemplo 111111111111.

6. Na guia Relações de confiança, verifique se o campo Entidades confiáveis contém o ARN do provedor de identidades. Você pode verificar novamente o ARN no console do IAM abrindo Provedores de identidades, Okta.

Faça login no AWS Management Console e abra o console do IAM em https://console.aws.amazon.com/iam/.

Adicione uma política que permita ao Okta exibir uma lista de perfis do IAM para o usuário. Para isso, escolha Política, Criar política.

Escolha JSON e insira a política a seguir.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iam:ListRoles",
                "iam:ListAccountAliases"
            ],
            "Resource": "*"
        }
    ]
    }

Escolha Revisar política.

Em Name (Nome), insira OktaListRolesPolicy. Selecione Criar política.

Adicione um usuário para que você possa fornecer uma chave de acesso ao Okta.

No painel de navegação, escolha Usuários, Adicionar usuário.

Use as seguintes configurações:

Escolha Próximo: Permissões.

Escolha Anexar políticas existentes diretamente.

Em PesquisarOktaListRolesPolicy, insira e escolha entre os resultados OktaListRolesPolicyda pesquisa.

Escolha Próximo: tags e Próximo: revisar.

Selecione Criar usuário. Agora você pode obter a chave de acesso.

Baixe o arquivo de chaves selecionando Baixar .csv. O arquivo contém o mesmo ID da chave de acesso e a mesma chave de acesso secreta que são exibidas nessa tela. No entanto, como AWS não exibe essas informações pela segunda vez, certifique-se de baixar o arquivo.

Verifique se você concluiu essa etapa corretamente seguindo os seguintes passos:

1. Abra o console do IAM e escolha Usuários. Pesquise Okta SSOUser e abra-o escolhendo o nome de usuário nos resultados da pesquisa.

2. Na guia Permissões, verifique se o OktaListRolesPolicyestá anexado.

3. Use o ícone para abrir a política. Verifique se o texto corresponde ao que é mostrado neste procedimento.

4. Na guia Credenciais de segurança, você pode verificar a chave de acesso, embora já a tenha baixado. Você pode voltar a essa guia para criar uma chave de acesso quando precisar de uma nova.

Volte para o painel do Okta. Se solicitado, faça login. Se o console do desenvolvedor não estiver mais aberto, escolha Admin para reabri-lo.

Se precisar reabrir o Okta, você pode retornar a esta seção seguindo as etapas a seguir:

1. Faça login no Okta. Selecione Aplicações.

2. Escolha Federação de AWS contas - QuickSight —o aplicativo que você criou no início deste tutorial.

3. Escolha a guia Sign On, entre General e Mobile.

Role até Advanced Sign-On Settings.

Em Identity Provider ARN (Required only for SAML IAM federation), insira o ARN do provedor do procedimento anterior, por exemplo:

arn:aws:iam::111122223333:saml-provider/Okta

Escolha Done ou Save. O nome do botão varia se você estiver criando ou editando a aplicação.

Escolha a guia Provisioning e, na parte inferior da guia, selecione Configure API Integration.

Ative Enable API integration para exibir as configurações.

Em Access Key e Secret Key, forneça a chave de acesso e a chave secreta que você baixou anteriormente em um arquivo chamado OktaSSOUser_credentials.csv.

Escolha Test API Credentials. Veja acima da configuração Enable API integration para ver a mensagem de confirmação AWS Account Federation was verified successfully.

Escolha Salvar.

Certifique-se de que To App esteja destacado à esquerda e escolha Edit à direita.

Em Create Users, ative a opção Enable.

Escolha Salvar.

Na guia Assignments, perto de Provisioning e Import, escolha Assign.

Faça um ou mais dos seguintes procedimentos para habilitar o acesso federado:

Para cada grupo ou usuário do IAM, faça o seguinte:

1. Escolha Assign, Role.

2. Selecione na QuicksightOktaFederatedRolelista de funções do IAM.

3. Para funções de usuário do SAML, habilite QuicksightOktaFederatedRole.

Escolha Save and Go Back e selecione Done.

Certifique-se de que você concluiu essa etapa corretamente escolhendo o filtro People ou Groups à esquerda e verificando os usuários ou grupos inseridos. Se você não conseguir concluir esse processo porque o perfil criado não aparece na lista, retorne aos procedimentos anteriores para verificar as configurações.

Se você estiver usando uma conta de administrador do Okta, mude para o modo de usuário.

Entre no painel do Okta Applications com um usuário que tenha recebido acesso federado. Você deve ver um novo aplicativo com sua etiqueta, por exemplo, Federação de AWS contas - QuickSight.

Escolha o ícone do aplicativo para iniciar a Federação de AWS Contas - QuickSight.

Abra QuickSight e escolha Gerenciar no menu QuickSight do seu perfil.

Selecione Logon único (federação do IAM) no painel de navegação.

Em Configuração, URL do IdP, insira o URL que seu IdP fornece para autenticar usuários, por exemplo, https://dev - .okta. 1-----0 com/home/amazon_foi/0oabababababaGQei5d5/282. Você encontra isso na página do seu aplicativo do Okta, na guia General, em Embed Link.

Para URL do IdP, insira RelayState.

Execute um destes procedimentos:

Em Status, escolha ATIVADO.

Para salvar suas configurações, selecione Salvar.

Localize o URL de logon único (federação do IAM) da aplicação do Okta no arquivo metadata.xml que você baixou no início do tutorial. Você encontra o URL quase no fim do arquivo, no elemento chamado md:SingleSignOnService. O atributo chama-se Location e o valor termina com /sso/saml, como mostrado no exemplo a seguir.

<md:SingleSignOnService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect" Location="https://dev-0000001.okta.com/app/amazon_aws/abcdef2hATwiVft645d5/sso/saml"/>

Pegue o valor do URL da federação do IAM e acrescente ?RelayState= seguido pelo URL do seu QuickSight painel. O parâmetro RelayState retransmite o estado (o URL) em que o usuário estava quando foi redirecionado ao URL de autenticação.

À nova federação do IAM com o estado de retransmissão adicionado, anexe a URL do seu painel. QuickSight O URL resultante deve ser semelhantes ao mostrado a seguir.

https://dev-1-----0.okta.com/app/amazon_aws/abcdef2hATwiVft645d5/sso/saml?RelayState=https://us-west-2.quicksight.aws.amazon.com/sn/analyses/12a12a2a-121a-212a-121a-abcd12abc1ab

Se o link criado não abrir, verifique se você está usando o URL da federação do IAM mais recente do metadata.xml. Verifique também se o nome de usuário que você usa para fazer login não está atribuído em mais de um aplicativo do Okta da federação do IAM.