通过 Microsoft Entra ID 和 IAM Identity Center 配置 SAML 和 SCIM

至少以云应用程序管理员的身份登录 Microsoft Entra 管理中心。

导航到身份 > 应用程序 > 企业应用程序，然后选择新应用程序。

在浏览 Microsoft Entra Gallery页面上，在搜索框中输入 AWS IAM Identity Center。

AWS IAM Identity Center从结果中选择。

选择创建。

在 Microsoft Entra 管理中心控制台，导航到身份 > 用户 > 所有用户。

选择新用户，然后选择屏幕顶部的创建新用户。

在用户主体名称中，输入 NikkiWolf，然后选择您喜欢的域和扩展。例如，NikkiWolf@example.org。

在显示名称中，输入 NikkiWolf。

在密码中输入高强度密码，或选择眼睛图标，显示自动生成的密码，然后复制或写下显示的值。

选择属性，在名字中输入 Nikki。在姓氏中，输入 Wolf。

选择审核并创建，然后选择创建。

在同一个浏览器中，打开一个新选项卡，前往 “我的账户” 门户登录页面，然后输入 Nikki 的完整电子邮件地址。例如，NikkiWolf@example.org。

出现提示时，输入 Nikki 的密码，然后选择登录。如果密码是自动生成的，系统将提示您更改密码。

在需要执行的操作页面，选择稍后询问，绕过关于其他安全方法的提示。

在 “我的帐户” 页面的左侧导航窗格中，选择 “我的应用程序”。请注意，除加载项外，此时不会显示任何应用程序。您将添加一个 AWS IAM Identity Center 应用程序，在稍后的步骤中，其将显示在此处。

在 Microsoft Entra 管理中心控制台，导航到身份 > 应用程序 > 企业应用程序，然后从列表中选择 AWS IAM Identity Center。

在左侧，选择用户和组。

选择添加用户/组。您可以忽略组不可用于分配的消息。此教程不使用组进行分配。

在添加分配页面，在用户下选择未选择任何对象。

选择 NikkiWolf，然后选择 “选择”。

在 “添加作业” 页面上，选择 “分配”。 NikkiWolf 现在出现在分配给该AWS IAM Identity Center应用程序的用户列表中。

打开 IAM Identity Center 控制台。

在多帐户权限下，选择权限集。

选择创建权限集。

在选择权限集类型页面，选择自定义权限集，然后选择下一步。

选择内联策略，将其展开，然后使用以下步骤为权限集创建策略：

1. 选择添加新声明，以创建策略语句。

2. 在 “编辑对账单” 下，从列表中选择 “账户”，然后选择以下复选框。

   • ListRegions

   • GetRegionOptStatus

   • DisableRegion

   • EnableRegion

3. 在添加资源旁边，选择添加。

4. 在添加资源页面的资源类型下，选择所有资源，然后选择添加资源。验证您的策略是否如下所示：

   {
       "Statement": [
           {
               "Sid": "Statement1",
               "Effect": "Allow",
               "Action": [
                   "account:ListRegions",
                   "account:DisableRegion",
                   "account:EnableRegion",
                   "account:GetRegionOptStatus"
               ],
               "Resource": [
                   "*"
               ]
           }
       ]
   }

选择下一步。

在指定权限集详细信息页面的权限集名称下，输入 RegionalAdmin，然后选择下一步。

在审核和创建页面，选择创建。您应该看到权限集列表中RegionalAdmin显示了内容。

打开 IAM Identity Center 控制台。

选择用户，选择添加用户，然后提供以下信息：

1. 对于用户名和电子邮件地址 - 输入创建 Microsoft Entra ID 用户时使用的 NikkiWolf@yourcompanydomain.extension。例如，NikkiWolf@example.org。

2. 确认电子邮件地址 - 重新输入上一步中的电子邮件地址

3. 名字 - 输入 Nikki

4. 姓氏 - 输入 Wolf

5. 显示名称 – 输入 Nikki Wolf

选择两次下一步，然后选择添加用户。

选择关闭。

打开 IAM Identity Center 控制台。

在多帐户权限下，选择 AWS 账户。

选中要授予 Nikki 管理区域权限的账户名（例如 Sandbox）旁边的复选框，然后选择 “分配用户和群组”。

在分配用户和组页面，选择用户选项卡，找到并选中 Nikki 旁边的复选框，然后选择下一步。

在 IAM Identity Center 控制台中，选择设置。

在设置页面上，选择身份源选项卡，然后选择操作>更改身份源。

在选择身份源页面，选择外部身份提供商，然后选择下一步。

在配置外部身份提供者页面的服务提供者元数据下，选择下载元数据文件以下载 XML 文件。

在同一部分，找到 AWS 访问门户登录 URL 的值，并复制它。在下一步出现提示时，您需要输入该值。

将此页保持打开状态，然后转到下一步 (Step 3.2)，在中配置 AWS IAM Identity Center 企业应用程序Microsoft Entra ID。稍后，您将返回此页面，完成整个过程。

在 Microsoft Entra 管理中心控制台，导航到身份 > 应用程序 > 企业应用程序，然后选择 AWS IAM Identity Center。

在左边，选择 2。设置单点登录。

在 “使用 SAML 设置单点登录” 页面上，选择 SAML。然后选择上传元数据文件，选择文件夹图标，选择您在上一步中下载的服务提供商元数据文件，然后选择添加。

在 “基本 SAML 配置” 页面上，验证 “标识符” 和 “回复 URL” 值现在是否都指向以开头 AWS 的https://<REGION>.signin.aws.amazon.com/platform/saml/终端节点。

在登录 URL（可选）下，粘贴您在上一步（Step 3.1）复制的 AWS 访问门户登录 URL 值，选择保存，然后点击 X 关闭窗口。

如果系统提示使用测试单点登录 AWS IAM Identity Center，请选择 “否”，我稍后再测试。您将在稍后的步骤中进行此项验证。

在使用 SAML 设置单点登录页面的 SAML 证书部分，在联合身份验证元数据 XML 旁边，选择下载，将元数据文件保存到您的系统中。在下一步出现提示时，您需要上传此文件。

返回在 Step 3.1 中，您在 IAM Identity Center 控制台中保留为打开状态的浏览器会话。

在配置外部身份提供商页面的身份提供商元数据部分，选择 IdP SAML 元数据下的选择文件按钮，然后选择您在上一步从 Microsoft Entra ID 下载的身份提供商元数据文件，然后选择打开。

选择下一步。

在阅读免责声明并准备继续操作后，输入 ACCEPT。

选择更改身份源，以应用您的更改。

前往我的账户门户登录页面，输入 Nikki 的完整电子邮件地址。例如，NikkiWolf@example.org。

出现提示时，输入 Nikki 的密码，然后选择登录。

在 “我的帐户” 页面的左侧导航窗格中，选择 “我的应用程序”。

在我的应用程序页面，选择名为 AWS IAM Identity Center 的应用程序。这应该会提示您进行额外的身份验证。

在微软的登录页面上，选择你的 NikkiWolf 凭据。如果再次提示您进行身份验证，请再次选择您的 NikkiWolf 凭据。这应该会自动将您重定向到 AWS 访问门户。

确认是否显示 AWS 账户图标 。

在 AWS 访问门户中，选择AWS 账户图标 以展开账户列表。选择该图标后，对于您在其中定义了权限集的任何账户，其账户名称、账户 ID 和与之关联的电子邮件地址都将显示出来。

选择对其应用了权限集的账户名称，例如沙盒（请参阅 Step 2.3）。这将展开权限集列表，Nikki 可以从中选择，以管理其账户。

接下来RegionalAdmin选择管理控制台来代入您在RegionalAdmin权限集中定义的角色。这会将您重定向至 AWS Management Console 主页。

在控制台的右上角，选择您的账户名称，然后选择账户。您将进入账户页面。请注意，此页面上的所有其他部分都会显示一条消息，说明您没有查看或修改这些设置的必要权限。

在账户页面，向下滚动至 AWS 区域部分。选中表格中任何可用区域的复选框。注意 Nikki 确实拥有必要的权限，可按预期为其账户启用或禁用区域列表。

在 Microsoft Entra 管理中心控制台，导航到身份 > 用户 > 所有用户。

选择新用户，然后选择屏幕顶部的创建新用户。

在用户主体名称中，输入 RichRoe，然后选择您喜欢的域和扩展。例如，RichRoe@example.org。

在显示名称中，输入 RichRoe。

在密码中输入高强度密码，或选择眼睛图标，显示自动生成的密码，然后复制或写下显示的值。

选择属性，然后提供以下值：

选择审核并创建，然后选择创建。

打开 IAM Identity Center 控制台，在左侧导航窗格中选择设置。

在设置页面的身份源选项卡下，请注意预置方法已设置为手动。

找到自动预置信息框，然后选择启用。这会立即在 IAM Identity Center 中启用自动预置，并显示必要的 SCIM 端点和访问令牌信息。

在入站自动预置对话框中，复制以下选项的每个值。下一步在 Microsoft Entra ID 中配置预置时，您需要粘贴这些值。

1. SCIM 端点 - 例如，https://scim.us-east-2.amazonaws.com/11111111111-2222-3333-4444-555555555555/scim/v2/

2. 访问令牌 - 选择显示令牌以复制该值。

选择关闭。

在身份源选项卡下，请注意预置方法现在设置为 SCIM。

在 Microsoft Entra 管理中心控制台，导航到身份 > 应用程序 > 企业应用程序，然后选择 AWS IAM Identity Center。

选择预置，在管理下，再次选择预置。

在预置模式下，选择自动。

在管理员凭证下的租户 URL 中，粘贴您之前在 Step 4.1 中复制的 SCIM 端点 URL 值。在密钥令牌中，粘贴访问令牌的值。

选择测试连接。您应该会看到一条消息，表明经过测试的凭证已成功得到授权，可以启用预置。

选择保存。

在管理下，选择用户和组，然后选择添加用户/组。

在添加分配页面，在用户下选择未选择任何对象。

选择 RichRoe，然后选择 “选择”。

在添加分配页面，选择分配。

选择概述，然后选择开始预置。

在 IAM Identity Center 控制台中，选择用户。

在 “用户” 页面上，您应该会看到显示您的RichRoe用户。请注意，在创建者列，值将设置为 SCIM。

选择 “配置文件” 下 RichRoe，确认以下属性是从中复制的Microsoft Entra ID。

现在，Richard 的用户已在 IAM Identity Center 中创建，您可以将其分配给任何权限集，这样您就可以控制他对您 AWS 资源的访问权限级别。例如，您可以分配RichRoe给之前使用的RegionalAdmin权限集，授予 Nikki 管理区域的权限（请参阅 Step 2.3），然后使用Step 3.5测试其访问级别。

在 Microsoft Entra 管理中心控制台，导航到身份 > 应用程序 > 企业应用程序，然后选择 AWS IAM Identity Center。

选择 Single sign-on（单点登录）。

在属性和声明部分，选择编辑。

在属性和声明页面，执行以下操作：

1. 选择添加新声明

2. 对于名称，请输入 AccessControl:AttributeName。AttributeName替换为您在 IAM 身份中心中期望的属性的名称。例如，AccessControl:Department。

3. 对于命名空间，请输入 https://aws.amazon.com/SAML/Attributes。

4. 对于源，请选择属性。

5. 对于来源属性，使用下拉列表选择 Microsoft Entra ID 用户属性。例如，user.department。

对需要在 SAML 断言中发送到 IAM Identity Center 的每个属性重复上一步。

选择保存。