View a markdown version of this page

清单：在中配置 ABAC AWS 使用 IAM 身份中心 - AWS IAM Identity Center

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

清单：在中配置 ABAC AWS 使用 IAM 身份中心

此清单包括准备您的 AWS 资源和设置 IAM Identity Center 以进行 ABAC 访问所需的配置任务。按顺序完成此清单中的任务。当参考链接将您带到某个主题时，请返回到该主题，以便您可以继续执行此清单中的其余任务。

步骤 Task 参考
1 查看如何为所有 AWS 资源添加标签。要在 IAM Identity Center 中实施 ABAC，您首先需要向要实施 ABAC 的所有 AWS 资源添加标签。
2 查看如何使用身份存储中的关联用户身份和属性在 IAM Identity Center 中配置您的身份源。IAM 身份中心允许您在中使用来自任何 ABAC 支持的 IAM 身份中心身份源的用户属性。 AWS
3 根据以下标准，确定您要使用哪些属性来做出访问控制决策， AWS 并将其发送到 IAM 身份中心。

  • 如果您使用外部身份提供者（IdP），请决定是要使用从 IdP 传递的属性还是从 IAM Identity Center 中选择属性。

  • 如果您选择让 IdP 发送属性，请将 IdP 配置为在 SAML 断言中传输属性。请参阅特定 IdP 教程中的 Optional 部分。

  • 如果您使用 IdP 作为身份源并选择在 IAM Identity Center 中选择属性，请研究如何配置 SCIM 以便属性值来自您的 IdP。如果您无法将 SCIM 与 IdP 一起使用，则使用 IAM Identity Center 控制台用户页面添加用户及其属性。

  • 如果您使用 Active Directory 或 IAM Identity Center 作为身份源，或者使用 IdP 并选择在 IAM Identity Center 中选择属性，则查看您可以配置的可用属性。然后立即跳至步骤 4，开始使用 IAM Identity Center 控制台配置您的 ABAC 属性。
4

使用 IAM Identity Center 控制台中的访问控制属性页面选择要用于 ABAC 的属性。在此页面中，您可以从步骤 2 中配置的身份源中选择访问控制属性。在您的身份及其属性存入 IAM 身份中心后，您必须创建密钥值对（映射），这些密钥值对将传递给您以 AWS 账户 用于访问控制决策。
5

在您的权限集（使用账户访问管理器时为 IAM 角色）中创建自定义权限策略，并使用访问控制属性创建 ABAC 规则，这样用户只能访问带有匹配标签的资源。您在步骤 4 中配置的用户属性将用作 AWS 中的标签来做出访问控制决策。您可以使用 aws:PrincipalTag/key 条件引用权限策略中的访问控制属性。
6

在各种权限集中 AWS 账户，将用户分配给您在步骤 5 中创建的权限集。这样做可以确保当他们联合到自己的账户并访问 AWS 资源时，他们只能根据匹配的标签获得访问权限。

完成这些步骤后， AWS 账户 使用单点登录进行联合的用户将根据匹配的属性获得对其 AWS 资源的访问权限。