配置SAML和SCIM使用 Microsoft Entra ID 和IAM身份中心

至少以云应用程序管理员的身份登录 Microsoft Entra 管理中心。

导航到身份 > 应用程序 > 企业应用程序，然后选择新应用程序。

在浏览 Microsoft Entra Gallery页面上，在搜索框中输入 AWS IAM Identity Center。

从结果中选择 AWS IAM Identity Center。

选择创建。

在 Microsoft Entra 管理中心控制台，导航到身份 > 用户 > 所有用户。

选择新用户，然后选择屏幕顶部的创建新用户。

在用户主体名称中，输入 NikkiWolf，然后选择您喜欢的域和扩展。例如，NikkiWolf@ example.org。

在显示名称中，输入 NikkiWolf。

在密码中输入高强度密码，或选择眼睛图标，显示自动生成的密码，然后复制或写下显示的值。

选择属性，在名字中输入 Nikki。在姓氏中，输入 Wolf。

选择审核并创建，然后选择创建。

在同一个浏览器中打开新标签页，前往我的账户门户登录页面，然后输入 Nikki 的完整电子邮件地址。例如，NikkiWolf@ example.org。

出现提示时，输入 Nikki 的密码，然后选择登录。如果密码是自动生成的，系统将提示您更改密码。

在需要执行的操作页面，选择稍后询问，绕过关于其他安全方法的提示。

在我的账户页面的左侧导航窗格中，选择我的应用程序。请注意，除加载项外，此时不会显示任何应用程序。您将添加一个 AWS IAM Identity Center 应用程序，在稍后的步骤中，其将显示在此处。

在 Microsoft Entra 管理中心控制台，导航到身份 > 应用程序 > 企业应用程序，然后从列表中选择 AWS IAM Identity Center。

在左侧，选择用户和组。

选择添加用户/组。您可以忽略组不可用于分配的消息。此教程不使用组进行分配。

在添加分配页面，在用户下选择未选择任何对象。

选择 NikkiWolf，然后选择 “选择”。

在添加作业页面上，选择分配。 NikkiWolf 现在出现在分配给该AWS IAM Identity Center应用程序的用户列表中。

打开IAM身份中心控制台。

在多帐户权限下，选择权限集。

选择创建权限集。

在选择权限集类型页面，选择自定义权限集，然后选择下一步。

选择内联策略，将其展开，然后使用以下步骤为权限集创建策略：

1. 选择添加新声明，以创建策略语句。

2. 在编辑语句下，从列表中选择账户，然后选中以下复选框。

   • ListRegions

   • GetRegionOptStatus

   • DisableRegion

   • EnableRegion

3. 在添加资源旁边，选择添加。

4. 在添加资源页面的资源类型下，选择所有资源，然后选择添加资源。验证您的策略是否如下所示：

   {
       "Statement": [
           {
               "Sid": "Statement1",
               "Effect": "Allow",
               "Action": [
                   "account:ListRegions",
                   "account:DisableRegion",
                   "account:EnableRegion",
                   "account:GetRegionOptStatus"
               ],
               "Resource": [
                   "*"
               ]
           }
       ]
   }

选择下一步。

在指定权限集详细信息页面的权限集名称下，输入 RegionalAdmin，然后选择下一步。

在审核和创建页面，选择创建。您应该看到权限集列表中RegionalAdmin显示了内容。

打开IAM身份中心控制台。

选择用户，选择添加用户，然后提供以下信息：

1. 对于用户名和电子邮件地址 — 输入您在创建用户名和电子邮件地址时使用的相同 NikkiWolf@ yourcompanydomain.extension Microsoft Entra ID 用户。例如，NikkiWolf@ example.org。

2. 确认电子邮件地址 - 重新输入上一步中的电子邮件地址

3. 名字 - 输入 Nikki

4. 姓氏 - 输入 Wolf

5. 显示名称 – 输入 Nikki Wolf

选择两次下一步，然后选择添加用户。

选择关闭。

打开IAM身份中心控制台。

在多帐户权限下，选择 AWS 账户。

选中要授予 Nikki 管理区域权限的账户名（例如Sandbox）旁边的复选框，然后选择 “分配用户和群组”。

在分配用户和组页面，选择用户选项卡，找到并选中 Nikki 旁边的复选框，然后选择下一步。

在IAM身份中心控制台中，选择设置。

在设置页面上，选择身份源选项卡，然后选择操作>更改身份源。

在选择身份源页面，选择外部身份提供商，然后选择下一步。

在配置外部身份提供者页面的服务提供者元数据下，选择下载元数据文件以下载XML文件。

在同一部分中，找到AWS 访问门户登录URL值并将其复制。在下一步出现提示时，您需要输入该值。

将此页保持打开状态，然后转到下一步 (Step 3.2)，在中配置 AWS IAM Identity Center 企业应用程序 Microsoft Entra ID。 稍后，您将返回此页面以完成该过程。

在 Microsoft Entra 管理中心控制台，导航到身份 > 应用程序 > 企业应用程序，然后选择 AWS IAM Identity Center。

在左侧选择 2. 设置单点登录。

在 “设置单点登录SAML” 页面上，选择SAML。然后选择上传元数据文件，选择文件夹图标，选择您在上一步中下载的服务提供商元数据文件，然后选择添加。

在 “基本SAML配置” 页面上，验证 “标识符” 和 “回复” URL 值现在是否都指向以开头 AWS 的端点https://<REGION>.signin.aws.amazon.com/platform/saml/。

在 “登录URL（可选）” 下，粘贴您在上一步中复制的AWS 访问门户登录URL值（Step 3.1），选择保存，然后选择 X 关闭窗口。

如果系统提示使用测试单点登录 AWS IAM Identity Center，请选择 “否”，我稍后再测试。您将在稍后的步骤中进行此项验证。

在 “设置单点登录 SAML” 页面的 “SAML证书” 部分的 “联合元数据” 旁边XML，选择 “下载”，将元数据文件保存到您的系统中。在下一步出现提示时，您需要上传此文件。

在 Ident IAM ity Center 控制台Step 3.1中返回到您保持打开状态的浏览器会话。

在配置外部身份提供者页面的身份提供者元数据部分的 IdP SAML 元数据下，选择选择文件按钮，然后选择您从中下载的身份提供者元数据文件 Microsoft Entra ID 在上一步中，然后选择 “打开”。

选择下一步。

在阅读免责声明并准备继续操作后，输入 ACCEPT。

选择更改身份源，以应用您的更改。

前往我的账户门户登录页面，输入 Nikki 的完整电子邮件地址。例如，NikkiWolf@ example.org。

出现提示时，输入 Nikki 的密码，然后选择登录。

在我的账户页面的左侧导航窗格中，选择我的应用程序。

在我的应用程序页面，选择名为 AWS IAM Identity Center 的应用程序。这应该会提示您进行额外的身份验证。

在微软的登录页面上，选择你的 NikkiWolf 凭据。如果再次提示您进行身份验证，请再次选择您的 NikkiWolf 凭据。这应该会自动将您重定向到 AWS 访问门户。

确认您的 AWS 账户 显示屏。

在 AWS 访问门户中，选择账户选项卡以显示账户列表。将显示与您已定义权限集的任何帐户关联的帐户名IDs、帐户和电子邮件地址。

选择您应用权限集的帐户名（例如Sandbox）（请参阅 Step 2.3）。这将展开权限集列表，Nikki 可以从中选择，以管理其账户。

接下来RegionalAdmin选择管理控制台来代入您在RegionalAdmin权限集中定义的角色。这会将您重定向至 AWS Management Console 主页。

在控制台的右上角，选择您的账户名称，然后选择账户。您将进入账户页面。请注意，此页面上的所有其他部分都会显示一条消息，说明您没有查看或修改这些设置的必要权限。

在账户页面，向下滚动至 AWS 区域部分。选中表格中任何可用区域的复选框。注意 Nikki 确实拥有必要的权限，可按预期为其账户启用或禁用区域列表。

在 Microsoft Entra 管理中心控制台，导航到身份 > 用户 > 所有用户。

选择新用户，然后选择屏幕顶部的创建新用户。

在用户主体名称中，输入 RichRoe，然后选择您喜欢的域和扩展。例如，RichRoe@ example.org。

在显示名称中，输入 RichRoe。

在密码中输入高强度密码，或选择眼睛图标，显示自动生成的密码，然后复制或写下显示的值。

选择属性，然后提供以下值：

选择审核并创建，然后选择创建。

打开 Id ent IAM ity Center 控制台，然后在左侧导航窗格中选择设置。

在设置页面的身份源选项卡下，请注意预置方法已设置为手动。

找到自动预置信息框，然后选择启用。这将立即启用 Ident IAM ity Center 中的自动配置，并显示必要的SCIM端点和访问令牌信息。

在入站自动预置对话框中，复制以下选项的每个值。在下一步中配置配置时，您需要将这些内容粘贴到下一步中 Microsoft Entra ID.

1. SCIM端点 ——例如，https://scim。 us-east-2.amazonaws.com/ /scim/v2 11111111111-2222-3333-4444-555555555555

2. 访问令牌 - 选择显示令牌以复制该值。

选择关闭。

在 “身份来源” 选项卡下，请注意，“配置方法” 现已设置为SCIM。

在 Microsoft Entra 管理中心控制台，导航到身份 > 应用程序 > 企业应用程序，然后选择 AWS IAM Identity Center。

选择预置，在管理下，再次选择预置。

在预置模式下，选择自动。

在 “管理员凭据” 下，在 “租户” 中，URL粘贴您之前在中复制的SCIM端点URL值Step 4.2。在密钥令牌中，粘贴访问令牌的值。

选择测试连接。您应该会看到一条消息，表明经过测试的凭证已成功得到授权，可以启用预置。

选择保存。

在管理下，选择用户和组，然后选择添加用户/组。

在添加分配页面，在用户下选择未选择任何对象。

选择 RichRoe，然后选择 “选择”。

在添加分配页面，选择分配。

选择概述，然后选择开始预置。

在IAM身份中心控制台中，选择用户。

在 “用户” 页面上，您应该会看到显示您的RichRoe用户。请注意，在 “创建者” 列中，该值设置为SCIM。

选择 “配置文件” 下方 RichRoe，确认以下属性是从中复制的 Microsoft Entra ID.

现在 Richard 的用户已在 Ident IAM ity Center 中创建，您可以将其分配给任何权限集，这样您就可以控制他对您的 AWS 资源的访问级别。例如，您可以分配RichRoe给之前使用的RegionalAdmin权限集，授予 Nikki 管理区域的权限（请参阅 Step 2.3），然后使用Step 3.5测试其访问级别。

在 Microsoft Entra 管理中心控制台，导航到身份 > 应用程序 > 企业应用程序，然后选择 AWS IAM Identity Center。

选择 Single sign-on（单点登录）。

在属性和声明部分，选择编辑。

在属性和声明页面，执行以下操作：

1. 选择添加新声明

2. 对于名称，请输入 AccessControl:AttributeName。AttributeName替换为您在 Ident IAM ity Center 中期望的属性的名称。例如，AccessControl:Department。

3. 对于命名空间，请输入 https://aws.amazon.com/SAML/Attributes。

4. 对于源，请选择属性。

5. 对于来源属性，使用下拉列表选择 Microsoft Entra ID 用户属性。例如，user.department。

在SAML断言中，对需要发送到 Ident IAM ity Center 的每个属性重复上述步骤。

选择保存。