教程：Amazon QuickSight 和联合IAM身份验证

登录到您的 Okta 控制面板。如果你还没有，请使用这个 QuickSight品牌创建一个免费的 Okta 开发者版账户。URL激活电子邮件后，登录 Okta。

在 Okta 网站上，选择左上角的 <> 开发人员控制台，然后选择经典 UI。

选择添加应用程序，然后选择添加应用程序。

在搜索中输入 aws，然后从搜索结果中选择 AWS 账户联合身份验证。

选择添加，创建此应用程序的实例。

对于应用程序标签，请输入 AWS Account Federation - QuickSight。

选择下一步。

对于 SAML2.0 “默认中继状态”，输入https://quicksight.aws.amazon.com。

打开身份提供者元数据的关联（右键单击）菜单，然后选择保存文件。将文件命名为 metadata.xml。在下一个步骤中，您需要用到此文件。

该文件的内容类似于以下内容。

<md:EntityDescriptor xmlns:md="urn:oasis:names:tc:SAML:2.0:metadata" entityID="http://www.okta.com/exkffz2hATwiVft645d5">
    <md:IDPSSODescriptor WantAuthnRequestsSigned="false" protocolSupportEnumeration="urn:oasis:names:tc:SAML:2.0:protocol">
    <md:KeyDescriptor use="signing">
        <ds:KeyInfo xmlns:ds="http://www.w3.org/2000/09/xmldsig#">
        <ds:X509Data>
            <ds:X509Certificate>
            MIIDpjCCAo6gAwIBAgIGAXVjA82hMA0GCSqGSIb3DQEBCwUAMIGTMQswCQYDVQQGEwJVUzETMBEG 
            . 
            .        (certificate content omitted)
            . 
            QE/6cRdPQ6v/eaFpUL6Asd6q3sBeq+giRG4=
            </ds:X509Certificate>
        </ds:X509Data>
        </ds:KeyInfo>
    </md:KeyDescriptor>
    <md:NameIDFormat>urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress</md:NameIDFormat>
    <md:NameIDFormat>urn:oasis:names:tc:SAML:2.0:nameid-format:unspecified</md:NameIDFormat>
    <md:SingleSignOnService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" Location="https://dev-1054988.okta.com/app/amazon_aws/exkffz2hATwiVft645d5/sso/saml"/>
    <md:SingleSignOnService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect" Location="https://dev-1054988.okta.com/app/amazon_aws/exkffz2hATwiVft645d5/sso/saml"/>
    </md:IDPSSODescriptor>
    </md:EntityDescriptor>

保存XML文件后，滚动到 Okta 页面的底部，然后选择 “完成”。

如果可能，请保持此浏览器窗口处于打开状态。您将在本教程的后面需要用到它。

登录 AWS Management Console 并打开IAM控制台，网址为https://console.aws.amazon.com/iam/。

在导航窗格中，依次选择身份提供者、创建提供者。

输入以下设置：

依次选择下一步、创建。

找到您创建的 IdP 并选择它以查看设置。请注意提供商ARN。要完成本教程，您需要用到它。

确认身份提供者是使用您的设置创建的。在中IAM，选择身份提供者、Okta（您添加的 IdP）、下载元数据。文件应该是您最新上传的文件。

登录 AWS Management Console 并打开IAM控制台，网址为https://console.aws.amazon.com/iam/。

在导航窗格中，选择 角色 和 创建角色。

在 “选择可信实体类型” 中，选择标有 SAML2.0 联合身份验证的卡片。

例如，对于SAML提供者，选择您在上一个过程中创建的 IdP。Okta

启用 “允许编程访问 AWS 和管理控制台” 选项。

选择下一步: 权限。

将下面的策略粘贴到编辑器中。

在政策编辑器中，JSON使用提供商的 Amazon 资源名称 (ARN) 更新。

{
    "Version": "2012-10-17",
    "Statement": [
    {
        "Effect": "Allow",
        "Action": "sts:AssumeRoleWithSAML",
        "Resource": "arn:aws:iam::111111111111:saml-provider/Okta",
        "Condition": {
        "StringEquals": {
            "saml:aud": "https://signin.aws.amazon.com/saml"
        }
        }
    }
    ]
    }

选择查看策略。

对于 Name (名称)，输入 QuicksightOktaFederatedPolicy，然后选择 Create policy (创建策略)。

再次选择创建策略。JSON

将下面的策略粘贴到编辑器中。

在策略编辑器中，JSON使用您的 AWS 账户 ID 更新。它应与您在提供商之前的政策中使用的账户 ID 相同ARN。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "quicksight:CreateReader"
            ],
            "Effect": "Allow",
            "Resource": [
                "arn:aws:quicksight::111111111111:user/${aws:userid}"
            ]
        }
    ]
    }

您可以省略中的 AWS 区域 名称ARN，如下所示。

arn:aws:quicksight::111111111111:user/$${aws:userid}

选择查看策略。

对于 Name (名称)，输入 QuicksightCreateReader，然后选择 Create policy (创建策略)。

通过选择右侧的刷新图标来刷新策略列表。

在搜索中，输入 QuicksightOktaFederatedPolicy。选择要将其启用的策略（ ）。

如果您不想使用自动预置，可以跳过以下步骤。

要添加 QuickSight 用户，请使用注册用户。要添加 QuickSight 群组，请使用创建群组。要将用户添加到 QuickSight 群组，请使用create-group-membership。

（可选）在搜索中，输入 QuicksightCreateReader。选择要将其启用的策略（ ）。

如果您想自动配置 QuickSight 用户，而不是使用，请执行此步骤 QuickSight API。

QuicksightCreateReader 策略通过允许使用 quicksight:CreateReader 操作来激活自动预置。这样做会向首次使用的用户授予控制面板订阅用户（读者级别）的访问权限。 QuickSight管理员稍后可以从 QuickSight 配置文件菜单 “管理”、“管理 QuickSight用户” 中对其进行升级。

要继续附加一个或多个IAM策略，请选择下一步：标签。

选择下一步：审核。

对于角色名称，输入 QuicksightOktaFederatedRole，然后选择创建角色。

执行以下步骤，验证您是否成功完成了此操作：

1. 返回IAM控制台的主页，网址为https://console.aws.amazon.com/iam/。您可以使用浏览器的返回按钮。

2. 选择角色。

3. 在搜索中，输入 Okta。QuicksightOktaFederatedRole从搜索结果中选择。

4. 在策略的摘要页面上，查看权限选项卡。验证该角色是否具有您附加的一个或多个策略。它应该具有 QuicksightOktaFederatedPolicy。如果您选择添加创建用户的功能，它还应具有 QuicksightCreateReader。

5. 使用 图标打开每个策略。验证文本是否与此过程中显示的内容相匹配。仔细检查您是否添加了自己的 AWS 账户 号码来代替示例账号 111111111111。

6. 在信任关系选项卡上，验证可信实体字段是否包含身份提供商的。ARN您可以通过打开身份提供商 Ok ta ARN 在IAM控制台中仔细检查。

登录 AWS Management Console 并打开IAM控制台，网址为https://console.aws.amazon.com/iam/。

添加允许 Okta 向用户显示IAM角色列表的策略。为此，依次选择策略、创建策略。

选择 JSON，然后输入以下策略。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iam:ListRoles",
                "iam:ListAccountAliases"
            ],
            "Resource": "*"
        }
    ]
    }

选择 Review Policy (查看策略)。

对于 Name (名称)，请输入 OktaListRolesPolicy。然后选择创建策略。

添加用户，这样您就可以向 Okta 提供访问密钥。

在导航窗格中，依次选择用户、添加用户。

使用以下设置：

选择 Next: Permissions（下一步：权限）。

选择直接附上现有策略。

在 “搜索” 中OktaListRolesPolicy，输入并OktaListRolesPolicy从搜索结果中进行选择。

依次选择 Next: Tags（下一步：标签）和 Next: Review（下一步：查看）。

选择 创建用户。现在您可以获取访问密钥了。

选择下载 .csv，下载密钥文件。该文件包含与此屏幕上显示的相同访问密钥 ID 和秘密访问密钥。但是，由于 AWS 不会再次显示此信息，因此请务必下载该文件。

通过执行以下操作来验证您是否正确完成了此步骤：

1. 打开IAM控制台，然后选择 “用户”。搜索 O ktaSSOUser，然后从搜索结果中选择用户名将其打开。

2. 在 “权限” 选项卡上，确认OktaListRolesPolicy已附加。

3. 使用 图标打开策略。验证文本是否与此过程中显示的内容相匹配。

4. 在安全凭证选项卡上，您可以检查访问密钥，尽管您已经下载了该访问密钥。当您需要新的访问密钥时，可以返回此选项卡来创建访问密钥。

返回您的 Okta 控制面板。如果要求这样做，请登录。如果开发人员控制台无法再打开，请选择管理员将其重新打开。

如果您必须重新打开 Okta，可以按照以下步骤返回本部分：

1. 登录 Okta。选择应用程序。

2. 选择AWS 账户联合 QuickSight- 这是您在本教程开头创建的应用程序。

3. 选择常规和移动之间的登录选项卡。

滚动到高级登录设置。

对于 “身份提供者”ARN（仅适用于SAMLIAM联合身份验证），请输入前一过程ARN中的提供者，例如：

arn:aws:iam::111122223333:saml-provider/Okta

选择完成或保存。按钮的名称会有所不同，具体取决于您是在创建还是在编辑应用程序。

选择 “配置” 选项卡，然后在该选项卡的下半部分，选择 “配置API集成”。

打开 “启用API集成” 以显示设置。

对于访问密钥和私有密钥，请提供您之前下载到名为 OktaSSOUser_credentials.csv 的文件中的访问密钥和私有密钥。

选择 “测试API凭证”。在 “启用API集成” 设置上方查看一条确认已成功验证AWS 账户联合身份验证的消息。

选择保存。

确保左侧突出显示到应用程序，然后在右侧选择编辑。

对于创建用户，开启启用选项。

选择保存。

在分配选项卡上的预置和导入旁边，选择分配。

执行以下一项或多项操作，启用联合访问：

对于每个IAM用户或组，请执行以下操作：

1. 选择分配、角色。

2. QuicksightOktaFederatedRole从IAM角色列表中选择。

3. 对于SAML用户角色，请启用QuicksightOktaFederatedRole。

选择保存并返回，然后选择完成。

通过选择左侧的人员或组筛选条件，选中您输入的用户或组，验证您是否正确完成了此步骤。如果由于您创建的角色未出现在列表中而无法完成此过程，请返回之前的过程来验证设置。

如果您使用的是 Okta 管理员账户，请切换到用户模式。

使用已被授予联合访问权限的用户登录您的 Okta 应用程序控制面板。您应该会看到带有您标签的新应用程序，例如AWS 账户联合- QuickSight。

选择应用程序图标以启动AWS 账户联合- QuickSight。

打开 QuickSight，然后 QuickSight从个人资料菜单中选择 “管理”。

从导航窗格中选择单点登录（IAM联合）。

在配置 I dP 中URL，输入您的 IdP 为对用户进行身份验证而提供的，例如 https://dev-URL1-----0.okta。 com/home/amazon_aws/0oabababababaGQei5d5/282。 你可以在 Okta 应用程序页面的 “常规” 选项卡的 “嵌入链接” 中找到它。

对于 IdP URL，请输入。RelayState

请执行以下操作之一：

对于状态，请选择开启。

选择保存，保存您的设置。

在教程开头下载metadata.xml的文件URL中找到 Okta 应用程序的单点登录（IAM联合）。你可以在文件底部URL附近的名为的元素中找到md:SingleSignOnService。此属性命名为 Location，值以 /sso/saml 结尾，如以下示例所示。

<md:SingleSignOnService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect" Location="https://dev-0000001.okta.com/app/amazon_aws/abcdef2hATwiVft645d5/sso/saml"/>

取IAM联盟的值，URL?RelayState=然后追加 QuickSight 仪表板URL的值。该RelayState参数中继用户被重定向到身份验证时所处的状态URL。URL

在添加了中继状态的新IAM联盟中，追加 QuickSight 仪表板URL的。结果URL应类似于以下内容。

https://dev-1-----0.okta.com/app/amazon_aws/abcdef2hATwiVft645d5/sso/saml?RelayState=https://us-west-2.quicksight.aws.amazon.com/sn/analyses/12a12a2a-121a-212a-121a-abcd12abc1ab

如果您创建的链接未打开，请检查您是否使用的是中的最新IAM联URL合metadata.xml。另请检查您用于登录的用户名是否未在多个IAM联邦 Okta 应用程序中分配。