IAM Identity Center 考虑事项 - AWS 设置
Active Directory 或外部 IdPAWS OrganizationsIAM 角色下一代防火墙和安全 Web 网关

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

IAM Identity Center 考虑事项

以下主题提供有关针对特定环境设置 IAM Identity Center 的指导。在继续 第 2 部分：创建 IAM Identity Center 中的管理用户 之前，请先了解适用于您环境的指导。

Active Directory 或外部 IdP

如果您已经在管理 Active Directory 或外部 IdP 中的用户和群组，我们建议您在启用 IAM Identity Center 并选择您的身份源时考虑连接此身份源。在默认 Identity Center 目录中创建任何用户和组之前执行此操作将有助于避免在以后更改身份源时所需的额外配置。

如果要使用 Active Directory 作为身份源，则您的配置必须满足以下先决条件：

  • 如果您正在使用 AWS Managed Microsoft AD，则必须在设置 AWS Managed Microsoft AD 目录的同一 AWS 区域 中启用 IAM Identity Center。IAM Identity Center 会将分配数据存储在与目录相同的区域中。要管理 IAM Identity Center，您可能需要切换到配置 IAM Identity Center 的区域。此外，请注意，AWS 访问门户使用与该目录相同的访问 URL。

  • 使用驻留在您管理账户中的 Active Directory：

    您必须在 AWS Directory Service 中设置现有 AD Connector 或 AWS Managed Microsoft AD 目录，并且该目录必须位于您的 AWS Organizations 管理账户内。一次只能连接一个 AD Connector 或一个 AWS Managed Microsoft AD。如果您需要支持多个域或林，请使用 AWS Managed Microsoft AD。有关更多信息，请参阅：

  • 使用驻留在委托管理员账户中的 Active Directory：

    如果您计划启用 IAM Identity Center 委托管理员并使用 Active Directory 作为您的 IAM 身份源，则可以使用现有 AD Connector 或 AWS Managed Microsoft AD 目录，在驻留于委托管理员账户内的 AWS 目录中设置此目录。

    如果您决定将 IAM Identity Center 源从任何其他源更改为 Active Directory，或者将其从 Active Directory 更改为任何其他源，则该目录必须驻留在 IAM Identity Center 委托管理员成员账户（如果存在）中（归该账户所有）；否则，它必须位于管理账户中。

AWS Organizations

您的 AWS 账户 必须由 AWS Organizations 管理。如果您还没有设置组织，则不必执行此操作。启用 IAM Identity Center 后，您将选择是否让 AWS 自动创建组织。

如果您已经设置 AWS Organizations，请确保所有功能都已启用。有关更多信息，请参阅 AWS Organizations 用户指南中的启用组织中的所有功能。

要启用 IAM Identity Center，您必须使用 AWS Organizations 管理账户的凭证登录 AWS Management Console。使用来自 AWS Organizations 成员账户的凭证登录时，您无法启用 IAM Identity Center。有关更多信息，请参阅 AWS Organizations 用户指南中的创建并管理 AWS 组织。

IAM 角色

如果您已经在 AWS 账户 中配置 IAM 角色，我们建议您检查自己的账户是否已接近 IAM 角色的限额。有关更多信息，请参阅 IAM 对象限额。

如果您已接近此限额，可以考虑申请增加限额。否则，当您为已超过 IAM 角色限额的账户预置权限集时，IAM Identity Center 可能会遇到问题。有关如何请求提高限额的信息，请参阅 Service Quotas 用户指南中的请求增加限额。

下一代防火墙和安全 Web 网关

如果您使用 NGFW 或 SWG 等网络内容筛选解决方案来筛选对特定 AWS 域或 URL 端点的访问权限，则必须将以下域或 URL 端点添加到您的 Web 内容筛选解决方案允许列表中。

特定的 DNS 域

  • *.awsapps.com (http://awsapps.com/)

  • *.signin.aws

特定的 URL 端点

  • https://[yourdirectory].awsapps.com/start

  • https://[yourdirectory].awsapps.com/login

  • https://[yourregion].signin.aws/platform/login