設定 SAML

為 IdP SAML 建立IAM角色

1. 在 開啟IAM主控台https://console.aws.amazon.com/iam/。

2. 在導覽窗格中，選擇 Roles (角色)、Create role (建立新角色)。

3. 針對角色類型 ，選擇 SAML 2.0 聯合。

4. 針對SAML提供者 ，選取您建立的 SAML IdP。

   重要

   請勿選擇兩種 SAML 2.0 存取方法之一 （僅允許程式設計存取或允許程式設計和 Amazon Web Services 管理主控台存取 ）。

5. 針對屬性 ，選擇 SAML：aud 。

6. 針對數值，輸入 https://signin.aws.amazon.com/saml。此值限制角色對SAML使用者串流請求的存取，其中包含具有持久值SAML的主題類型宣告。如果 SAML：sub_type 持續存在，您的 IdP 會在來自特定使用者的所有SAML請求中，為 NameID 元素傳送相同的唯一值。如需 SAML：sub_type 宣告的詳細資訊，請參閱使用 SAML型聯合存取 中的以 為基礎的聯合中唯一識別使用者一節。 SAML API AWS

7. 檢閱您的 SAML 2.0 信任資訊，確認正確的受信任實體和條件，然後選擇下一步：許可。

8. 在 Attach permissions policies (連接許可政策) 頁面上，選擇 Next: Tags (下一步：標籤)。

9. (選用) 為您要新增的每個標籤輸入索引鍵和值。如需詳細資訊，請參閱標記IAM使用者和角色。

10. 完成後，請選擇 Next: Review (下一步：檢閱)。您稍後將為此角色建立並嵌入內嵌政策。

11. 針對角色名稱，輸入可識別此角色用途的名稱。因為有多個實體可能會參考此角色，所以建立角色後，您就無法編輯其名稱。

12. (選用) 在 Role description (角色說明) 中，輸入新角色的說明。

13. 檢閱角色詳細資訊，並選擇 Create role (建立角色)。

14. （選用） 如果您計劃使用第三方 2.0 SAML 身分提供者或憑證型身分驗證來使用工作階段內容或屬性型應用程式權限，則必須將 sts：TagSession permission 新增至新IAM角色的信任政策。如需詳細資訊，請參閱 使用第三方 2.0 Identity Provider SAML 的屬性型應用程式權限 和在 AWS STS中傳入工作階段標籤。

    在新IAM角色的詳細資訊中，選擇信任關係索引標籤，然後選擇編輯信任關係。「編輯信任關係」政策編輯器隨即啟動。新增 sts：TagSession 許可，如下所示：

    
    {
      "Version": "2012-10-17",
      "Statement": [
        {
          "Effect": "Allow",
          "Principal": {
            "Federated": "arn:aws:iam::ACCOUNT-ID-WITHOUT-HYPHENS:saml-provider/IDENTITY-PROVIDER"
          },
          "Action": [
            "sts:AssumeRoleWithSAML",
            "sts:TagSession"
          ],
          "Condition": {
            "StringEquals": {
              "SAML:sub_type": "persistent"
            }
          }
        }
      ]
    }    
                        

    Replace (取代) IDENTITY-PROVIDER 使用您在步驟 SAML 1 中建立的 IdP 名稱。然後選擇更新信任政策。

1. 在您建立IAM的角色詳細資訊中，選擇許可索引標籤，然後選擇新增內嵌政策 。建立政策精靈隨即啟動。

2. 在建立政策 中，選擇 JSON 索引標籤。

3. 將下列JSON政策複製並貼到 JSON 視窗中。然後，透過輸入您的 AWS 區域 程式碼、帳戶 ID 和堆疊名稱來修改資源。在下列政策中， "Action": "appstream:Stream" 動作會為您的 AppStream 2.0 使用者提供許可，以連接至您建立之堆疊上的串流工作階段。

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": "appstream:Stream",
         "Resource": "arn:aws:appstream:REGION-CODE:ACCOUNT-ID-WITHOUT-HYPHENS:stack/STACK-NAME",
         "Condition": {
             "StringEquals": {
                 "appstream:userId": "${saml:sub}"           
             }
           }
       }
     ]
   }

   Replace (取代) REGION-CODE 您的 AppStream 2.0 堆疊所在的 AWS 區域。Replace (取代) STACK-NAME 堆疊的名稱。STACK-NAME 區分大小寫，且必須與確切的案例和拼寫相符，如同 AppStream 2.0 管理主控台的堆疊儀表板中顯示的堆疊名稱。

   對於 AWS GovCloud (US) 區域中的資源，請使用下列格式的 ARN：

   arn:aws-us-gov:appstream:REGION-CODE:ACCOUNT-ID-WITHOUT-HYPHENS:stack/STACK-NAME

4. （選用） 如果您打算使用第三方 SAML 2.0 身分提供者搭配 SAML2.0 多堆疊應用程式目錄，則IAM角色內嵌政策中的資源必須"Resource": "arn:aws:appstream:REGION-CODE:ACCOUNT-ID-WITHOUT-HYPHENS:stack/*"允許應用程式權限控制對堆疊的串流存取。若要對堆疊資源強制執行額外的保護，您可以在政策中新增明確拒絕。如需詳細資訊，請參閱 使用第三方 2.0 Identity Provider SAML 的屬性型應用程式權限 和政策評估邏輯。

5. 完成時，請選擇 Review policy (檢閱政策)。Policy Validator (政策檢查工具) 會回報任何語法錯誤。