创建用于 SAML 2.0 联合身份验证的角色（控制台）

在创建用于 SAML 联合的角色之前，必须在 IAM 中创建 SAML 提供商。有关更多信息，请参阅 在 IAM 中创建 SAML 身份提供者。

为已进行 SAML 2.0 身份验证的用户要担任的角色准备策略。正如任何角色一样，用于 SAML 联合的角色包含两个策略。一个是指定谁可以代入角色的角色信任策略。另一个是指定允许或拒绝联合身份用户访问的 AWS 操作和资源的 IAM 权限策略。

在为角色创建信任策略时，必须使用三个值来确保只有您的应用程序可以代入此角色：

以下示例信任策略是为 SAML 联合身份用户设计的：

{
    "Version": "2012-10-17",
    "Statement": {
      "Effect": "Allow",
      "Action": "sts:AssumeRoleWithSAML",
      "Principal": {"Federated": "arn:aws:iam::account-id:saml-provider/PROVIDER-NAME"},
      "Condition": {"StringEquals": {"SAML:aud": "https://signin.aws.amazon.com/saml"}}
    }
  }

将主体 ARN 替换为您在 IAM 中创建的 SAML 提供商的实际 ARN。它会具备您自己的账户 ID 和提供商名称。

登录 AWS Management Console，然后通过以下网址打开 IAM 控制台：https://console.aws.amazon.com/iam/。

在 IAM 控制台的导航窗格中，依次选择角色和创建角色。

选择 SAML 2.0 federation 角色类型。

对于 Select a SAML provider（选择 SAML 提供商），请为您的角色选择提供商。

选择 SAML 2.0 访问级别方法。

通过这两种方法创建的角色类似，但也可从控制台担任的角色包括包含带特定条件的信任策略。该条件显式确保将 SAML 受众（SAML:aud 属性）设置为 SAML 的 AWS 登录终端节点 (https://signin.aws.amazon.com/saml)。

如果创建用于编程访问的角色，请从属性列表中选择一个属性。然后在 Value（值）框中，键入一个将包含在角色中的值。这样可仅限来自其 SAML 身份验证响应 (断言) 包括您指定的属性的身份提供程序的用户可访问该角色。必须指定至少一个属性，以确保您的角色限于您所在组织中的一部分用户。

如果要创建用于编程访问和控制台访问的角色，则将自动添加 SAML:aud 属性，并将其设置为 AWS SAML 终端节点的 URL (https://signin.aws.amazon.com/saml)。

要将更多与属性相关的条件添加到信任策略，请选择 Condition (optional) [条件（可选）]，选择其他条件，然后指定值。

检查 SAML 2.0 信任信息，然后选择 Next（下一步）。

IAM 包括您的账户中的 AWS 托管策略和客户托管策略的列表。选择要用于权限策略的策略，或者选择 Create policy（创建策略）以打开新的浏览器选项卡并从头开始创建新策略。有关更多信息，请参阅 创建 IAM 策略。在您创建策略后，关闭该选项卡并返回到您的原始选项卡。选择您希望 OIDC 联合用户具有的权限策略旁边的复选框。如果您愿意，此时可以不选择任何策略，稍后将策略附加到角色。默认情况下，角色没有权限。

（可选）设置权限边界。这是一项高级功能。

打开 Permissions boundary（权限边界）部分，然后选择 Use a permissions boundary to control the maximum role permissions（使用权限边界控制最大角色权限）。选择要用于权限边界的策略。

选择下一步。

选择 下一步: 审核。

对于 Role name（角色名称），输入一个角色名称。角色名称在您的 AWS 账户 内必须是唯一的。名称不区分大小写。例如，您无法同时创建名为 PRODROLE 和 prodrole 的角色。由于其他 AWS 资源可能引用该角色，角色创建完毕后无法编辑角色名称。

（可选）对于 Description（描述），输入新角色的描述。

在 Step 1: Select trusted entities（步骤 1：选择可信实体）或 Step 2: Add permissions（步骤 2：添加权限）部分中的 Edit（编辑），以编辑角色的用户案例和权限。

（可选）通过以键值对的形式附加标签来向角色添加元数据。有关在 IAM 中使用标签的更多信息，请参阅 AWS Identity and Access Management 资源的标签。

检查角色，然后选择创建角色。