View a markdown version of this page

为 Amazon EMR Studio 选择身份验证模式 - Amazon EMR
IAM 身份验证模式IAM Identity Center 身份验证模式

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

为 Amazon EMR Studio 选择身份验证模式

EMR Studio 支持两种身份验证模式：IAM 身份验证模式和 IAM Identity Center 身份验证模式。IAM 模式使用 AWS Identity and Access Management (IAM)，而 IAM 身份中心模式使用 AWS IAM Identity Center。创建 EMR Studio 时，您可以为 EMR Studio 的所有用户选择身份验证模式。有关不同身份验证模式的更多信息，请参阅 身份验证和用户登录。

使用下表为 EMR Studio 选择身份验证模式。

如果您是… 我们建议…
已经熟悉或之前已经设置过 IAM 身份验证或联合

IAM 身份验证模式，具备下列优点：

  • 如果您已经管理 IAM 中的用户和组等身份，则能够快速设置 EMR Studio。

  • 与 OpenID Connect (OIDC) 或安全断言标记语言 2.0 (SAML 2.0) 兼容的身份提供商一起工作。

  • 支持使用具有同一 AWS 账户的多重身份提供商。

  • 有多种可供选择 AWS 区域。

  • 符合 SOC 2。
亚马逊 EM AWS R 新手

IAM Identity Center 身份验证模式，提供以下功能：

  • 支持轻松地将 AWS 资源分配给用户和群组。

  • 与 Microsoft Active Directory 和 SAML 2.0 身份提供商一起使用。

  • 便于设置多账户联盟，这样您就不必为组织 AWS 账户 中的每个账户单独配置联合。

为 Amazon EMR Studio 设置 IAM 身份验证模式

通过 IAM 身份验证模式，您可以使用 IAM 身份验证或 IAM 联合身份验证。IAM 身份验证 允许您在 IAM 中管理其用户、组和角色等身份。您凭借 IAM 权限策略以及基于属性的访问权限控制（ABAC），授予用户访问 Studio 的权限。IAM 联合允许您在第三方身份提供商 (IdP) 之间建立信任， AWS 以便您可以通过 IdP 管理用户身份。

注意

如果您已经使用 IAM 控制 AWS 资源访问权限，或者已经为 IAM 配置了身份提供商 (IdP)，请参阅IAM 身份验证模式的用户权限在 EMR Studio 使用 IAM 身份验证模式时设置用户权限。

使用 Amazon EMR Studio 的 IAM 联合身份验证

要将 IAM 联合用于 EMR Studio，您需要在您 AWS 账户 和您的身份提供商 (IdP) 之间建立信任关系，并允许联合用户访问。 AWS 管理控制台创建此信任关系所采取的步骤取决于您身份提供商 (IdP) 的联合身份验证标准。

通常，您可以完成以下任务以使用外部身份供应商 (IdP) 配置联合身份验证。有关完整说明，请参阅《AWS Identity and Access Management 用户指南》中的使 SAML 2.0 联合身份用户能够访问 AWS 管理控制台和使自定义身份代理能够访问 AWS 管理控制台。

  1. 通过您的身份提供商 (IdP) 收集信息。通常，这表示生成元数据文档以验证来自 IdP 的 SAML 身份验证请求。

  2. 创建身份提供商 IAM 实体以存储有关 IdP 的信息。有关说明，请参阅创建 IAM 身份提供商。

  3. 为您的 IdP 创建一个或多个 IAM 角色。在用户登录时，EMR Studio 将为联合身份用户分配角色。该角色允许您的 IdP 请求临时安全凭证以便访问 AWS。有关说明，请参阅针对第三方身份提供商（联合）创建角色。您分配给该角色的权限策略决定了联合用户在 EMR Studio 中 AWS 和在 EMR Studio 中可以做什么。有关更多信息，请参阅 IAM 身份验证模式的用户权限。

  4. （适用于 SAML 提供商）通过在您的 IdP 中配置有关信息 AWS 以及您希望联合用户代入的角色来完成 SAML 信任。此配置过程在您的 IdP 和 AWS之间创建信赖方信任。有关详细信息，请参阅《用户指南》中的使用信赖方信任配置您的 SAML 2.0 IdP 并添加声明。

在身份提供商 (IdP) 门户中将 EMR Studio 配置为 SAML 应用程序

您可以使用 EMR Studio 的深层链接将特定 EMR Studio 配置为 SAML 应用程序。这样，用户可以登录 IdP 门户并启动特定的 Studio，而不是通过 Amazon EMR 控制台进行导航。

  • 使用以下格式将指向 EMR Studio 的深层链接配置为 SAML 断言验证后的着陆 URL。

    https://console.aws.amazon.com/emr/home?region=<aws-region>#studio/<your-studio-id>/start

为 Amazon EMR Studio 设置 IAM Identity Center 身份验证模式

要 AWS IAM Identity Center 为 EMR Studio 做准备，必须配置身份源并配置用户和群组。预调配是使用户和组信息可供 IAM Identity Center 和使用 IAM Identity Center 的应用程序使用的过程。有关更多信息，请参阅用户和组预置。

EMR Studio 支持使用 IAM Identity Center 的以下身份提供商：

为 EMR Studio 设置 IAM Identity Center

  1. 要为 EMR Studio 设置 IAM Identity Center，您需要具备以下各项：

    • 如果您在 AWS 组织中使用多个账户，则为组织中的管理账户。

      注意

      您只能使用管理账户启用 IAM Identity Center 并预调配用户和组。在设置 IAM Identity Center 之后，您可以使用成员账户创建 EMR Studio 并分配用户和组。要了解有关 AWS 术语的更多信息，请参阅AWS Organizations 术语和概念。

    • 如果您在 2019 年 11 月 25 日之前启用了 IAM 身份中心，则可能必须为 AWS 组织中的账户启用使用 IAM 身份中心的应用程序。有关更多信息，请参阅在 AWS 账户中启用 IAM 身份 Center-integrated 应用程序。

    • 确保您拥有 IAM Identity Center 先决条件页面上列出的先决条件。

  2. 按照启用 IAM 身份中心中的说明在要创建 EMR 工作室的 AWS 区域 位置启用 IAM 身份中心。

  3. 将 IAM Identity Center 连接到您的身份提供商并预调配您要分配给 Studio 的用户和组。

    如果您使用... 请执行此操作...
    Microsoft AD 目录

    1. 按照 “连接到你的微软 AD 目录” 中的说明使用 Directory Service连接你自己管理的 Active Director AWS Managed Microsoft AD y 或目录。

    2. 要为 IAM Identity Center 预置用户和组，您可以将身份数据从源 AD 同步到 IAM Identity Center。您可以通过多种方式同步源 AD 中的身份。一种方法是将 AD 用户或组分配给企业中的 AWS 账户。有关说明，请参阅单点登录。

      同步最多可能需要两个小时。完成此步骤后，同步的用户和组都显示在您的 Identity Store 中。

      注意

      在您同步用户和组信息或使用即时（JIT）用户预调配之前，用户和组不会出现在您的 Identity Store 中。有关更多信息，请参阅当用户来自 Active Directory 时进行预置。

    3. （可选）同步 AD 用户和群组后，您可以移除他们对您在上一步中配置的 AWS 账户的访问权限。有关说明，请参阅删除用户访问权限。
    外部身份提供商 按照连接到您的外部身份提供商中的说明进行操作。
    IAM Identity Center 目录 当您在 IAM Identity Center 中创建用户和组时，则会进行自动预调配。有关更多信息，请参阅管理 IAM Identity Center 中的身份。

您现在可以将 Identity Store 中的用户和组分配到 EMR Studio。有关说明，请参阅将用户或组分配到 EMR Studio。