正在设置 SAML

为 I SAML dP 创建IAM角色

1. 打开IAM控制台，网址为https://console.aws.amazon.com/iam/。

2. 在导航窗格中，选择 Roles（角色）和 Create role（创建角色）。

3. 对于角色类型，选择 SAML2.0 联合。

4. 对于SAML提供者，选择您创建的 SAML IdP。

   重要

   请勿选择两种 SAML 2.0 访问方法中的任何一种（仅允许编程访问或允许编程访问和 Amazon Web Services 管理控制台）。

5. 在 “属性” 中，选择:a SAML ud。

6. 对于值，请输入 https://signin.aws.amazon.com/saml。此值限制角色对包含SAML主题类型断言且值为 persistent 的SAML用户流式传输请求的访问权限。如果:sub_type SAML 是永久性的，则您的 IdP 会在来自特定用户的所有请求中为 nameID 元素发送相同的唯一值。SAML有关:sub_type SAML 断言的更多信息，请参阅使用基于联合身份验证的访问权限中的 “在基于SAML联合身份验证中唯一标识用户” 部分。SAML API AWS

7. 查看您的 SAML 2.0 信任信息，确认正确的受信任实体和条件，然后选择 “下一步：权限”。

8. 在 Attach permissions policies (附加权限策略) 页面上，选择 Next: Tags (下一步：标签)。

9. （可选）为要添加的每个标签输入键和值。有关更多信息，请参阅为IAM用户和角色添加标签。

10. 完成此操作后，选择 Next: Review (下一步：审核)。稍后您将为此角色创建并嵌入内联策略。

11. 对于角色名称，输入有助于标识此角色作用的名称。由于多个实体可能引用该角色，因此，角色创建完毕后，您将无法编辑角色名称。

12. （可选）对于角色描述，输入新角色的描述。

13. 检查角色详细信息，然后选择 Create role。

14. （可选）如果您计划使用第三方 SAML 2.0 身份提供商或基于证书的身份验证来使用会话上下文或基于属性的应用程序授权，则必须将 sts: TagSession 权限添加到新IAM角色的信任策略中。有关更多信息，请参阅使用第三方 SAML 2.0 身份提供商基于属性的应用程序授权和在 AWS STS中传递会话标签。

    在新IAM角色的详细信息中，选择信任关系选项卡，然后选择编辑信任关系。“编辑信任关系”策略编辑器启动。添加 sts: TagSession 权限，如下所示：

    
    {
      "Version": "2012-10-17",
      "Statement": [
        {
          "Effect": "Allow",
          "Principal": {
            "Federated": "arn:aws:iam::ACCOUNT-ID-WITHOUT-HYPHENS:saml-provider/IDENTITY-PROVIDER"
          },
          "Action": [
            "sts:AssumeRoleWithSAML",
            "sts:TagSession"
          ],
          "Condition": {
            "StringEquals": {
              "SAML:sub_type": "persistent"
            }
          }
        }
      ]
    }    
                        

    Replace（替换） IDENTITY-PROVIDER使用您在步骤 1 中创建的 SAML IdP 的名称。然后选择更新信任策略。

1. 在您创建的IAM角色的详细信息中，选择权限选项卡，然后选择添加内联策略。“创建策略”向导将启动。

2. 在创建策略中，选择JSON选项卡。

3. 将以下JSON策略复制并粘贴到JSON窗口中。然后，通过输入您的 AWS 区域 代码、账户 ID 和堆栈名称来修改资源。在以下策略中，"Action": "appstream:Stream"该操作向您的 AppStream 2.0 用户提供了在您创建的堆栈上连接到流媒体会话的权限。

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": "appstream:Stream",
         "Resource": "arn:aws:appstream:REGION-CODE:ACCOUNT-ID-WITHOUT-HYPHENS:stack/STACK-NAME",
         "Condition": {
             "StringEquals": {
                 "appstream:userId": "${saml:sub}"           
             }
           }
       }
     ]
   }

   Replace（替换） REGION-CODE 与您的 AppStream 2.0 堆栈所在的 AWS 区域相同。Replace（替换） STACK-NAME 使用堆栈的名称。STACK-NAME 区分大小写，并且必须与 AppStream 2.0 管理控制台的 Stacks 控制面板中显示的堆栈名称完全匹配大小写和拼写。

   对于 AWS GovCloud (US) 区域中的资源，请使用以下格式ARN：

   arn:aws-us-gov:appstream:REGION-CODE:ACCOUNT-ID-WITHOUT-HYPHENS:stack/STACK-NAME

4. （可选）如果您计划使用第三方 SAML 2.0 身份提供商和 2.0 多栈应用程序目录使用基于属性的应用程序授权，则IAM角色中的资源内联策略必须允许应用程序授权控制"Resource": "arn:aws:appstream:REGION-CODE:ACCOUNT-ID-WITHOUT-HYPHENS:stack/*"对堆栈的流式访问权限。SAML要对堆栈资源实施额外保护，可以在策略中添加显式拒绝。有关更多信息，请参阅使用第三方 SAML 2.0 身份提供商基于属性的应用程序授权和策略评估逻辑。

5. 完成后，选择 Review policy (审核策略)。策略验证程序将报告任何语法错误。