View a markdown version of this page

選擇 Amazon EMR Studio 的身分驗證模式 - Amazon EMR
IAM 身分驗證模式IAM Identity Center 身分驗證模式

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

選擇 Amazon EMR Studio 的身分驗證模式

EMR Studio 支援兩種身分驗證模式：IAM 身分驗證模式和 IAM Identity Center 身分驗證模式。IAM 模式使用 AWS Identity and Access Management(IAM)，而 IAM Identity Center 模式使用 AWS IAM Identity Center。建立 EMR Studio 時，可以為該 Studio 的所有使用者選擇身分驗證模式。如需有關不同身分驗證模式的詳細資訊，請參閱 身分驗證和使用者登入。

使用下表選擇 EMR Studio 的身分驗證模式。

如果您是... 建議...
已熟悉或先前已設定 IAM 身分驗證或聯合

IAM 身分驗證模式，它具有以下好處：

  • 如果已經在 IAM 中管理身分 (例如使用者和群組)，則可為 EMR Studio 提供快速設定。

  • 使用與 OpenID Connect (OIDC) 或 Security Assertion Markup Language 2.0 (SAML 2.0) 相容的身分提供者。

  • 支援使用具有相同 AWS 帳戶 的多個身分提供者。

  • 提供廣泛數量的 AWS 區域。

  • 符合 SOC 2 規定。
新手AWS或 Amazon EMR

IAM Identity Center 身分驗證模式，它可提供以下功能：

  • 支援 AWS資源的簡易使用者和群組指派。

  • 使用 Microsoft Active Directory 和 SAML 2.0 身分提供者。

  • 促進多帳戶聯合設定，因此您不需要為AWS 帳戶組織中的每個 分別設定聯合。

設定 Amazon EMR Studio 的 IAM 身分驗證模式

使用 IAM 身分驗證模式，您可以使用 IAM 身分驗證或 IAM 聯合。IAM 身分驗證可讓您管理 IAM 身分，例如 IAM 中的使用者、群組和角色。可以使用 IAM 許可政策和屬性型存取控制 (ABAC) 授予使用者對 Studio 的存取權。IAM 聯合可讓您在第三方身分提供者 (IdP) 和 之間建立信任，AWS以便您可以透過 IdP 管理使用者身分。

注意

如果您已經使用 IAM 控制對 AWS資源的存取，或者如果您已經為 IAM 設定身分提供者 (IdP)，請參閱 IAM 身分驗證模式的使用者許可 以在 EMR Studio 使用 IAM 身分驗證模式時設定使用者許可。

針對 Amazon EMR Studio 使用 IAM 聯合

若要使用 EMR Studio 的 IAM 聯合身分，您可以在 AWS 帳戶與身分提供者 (IdP) 之間建立信任關係，並讓聯合身分使用者存取 AWS 管理主控台。建立此信任關係所採取的步驟會因 IdP 的聯合標準而有所不同。

一般而言，需要完成下列任務來設定與外部 IdP 的聯合。如需完整指示，請參閱《AWS Identity and Access Management 使用者指南》中的啟用 SAML 2.0 聯合身分使用者來存取 AWS 管理主控台和啟用自訂身分經紀人來存取 AWS 管理主控台。

  1. 從您的 IdP 中收集資訊。這通常表示會產生中繼資料文件以驗證來自 IdP 的 SAML 身分驗證請求。

  2. 建立身分提供者 IAM 實體以儲存 IdP 的相關資訊。如需指示，請參閱建立 IAM 身分提供者。

  3. 為您的 IdP 建立一個或多個 IAM 角色。當使用者登入時，EMR Studio 會將角色指派給聯合身分使用者。該角色允許您的 IdP 請求暫時性安全憑證以存取 AWS。如需指示，請參閱針對第三方身分提供者建立角色 (聯合)。您指派給該角色的許可政策決定聯合身分使用者可在 EMR Studio 中AWS和 EMR Studio 中執行的操作。如需詳細資訊，請參閱IAM 身分驗證模式的使用者許可。

  4. （適用於 SAML 提供者） 使用您希望聯合身分使用者擔任的 AWS和 角色的相關資訊來設定 IdP，以完成 SAML 信任。此組態程序會在 IdP 和 之間建立依賴方信任AWS。如需詳細資訊，請參閱使用依賴方信任設定您的 SAML 2.0 IdP 並新增宣告。

在 IdP 入口網站中將 EMR Studio 設定為 SAML 應用程式

可以使用 Studio 的深層連結，將特定 EMR Studio 設定為 SAML 應用程式。這樣做可讓使用者登入您的 IdP 入口網站並啟動特定的 Studio，而不是透過 Amazon EMR 主控台進行導覽。

  • 在 SAML 聲明驗證之後，使用下列格式將 EMR Studio 的深層連結設定為登入 URL。

    https://console.aws.amazon.com/emr/home?region=<aws-region>#studio/<your-studio-id>/start

設定 Amazon EMR Studio 的 IAM Identity Center 身分驗證模式

若要準備 AWS IAM Identity CenterEMR Studio，您必須設定身分來源並佈建使用者和群組。佈建是將使用者和群組資訊提供給 IAM Identity Center 以及使用 IAM Identity Center 的應用程式使用的程序。如需詳細資訊，請參閱使用者和群組佈建。

EMR Studio 支援將下列身分提供者用於 IAM Identity Center：

若要為 EMR Studio 設定 IAM Identity Center

  1. 若要為 EMR Studio 設定 IAM Identity Center，您需要下列各項：

    • 如果您在AWS組織中使用多個帳戶，則為組織中的管理帳戶。

      注意

      您應該只使用管理帳戶來啟用 IAM Identity Center 並佈建使用者和群組。設定 IAM Identity Center 後，請使用成員帳戶建立 EMR Studio 並指派使用者和群組。若要進一步了解AWS術語，請參閱AWS Organizations術語和概念。

    • 如果您在 2019 年 11 月 25 日之前啟用 IAM Identity Center，您可能需要為AWS組織中的帳戶啟用使用 IAM Identity Center 的應用程式。如需詳細資訊，請參閱在AWS帳戶中啟用 IAM Identity Center 整合的應用程式。

    • 確定您具有 IAM Identity Center 必要條件頁面中列出的先決條件。

  2. 遵循啟用 IAM Identity Center 中的指示，在AWS 區域您要建立 EMR Studio 的 中啟用 IAM Identity Center。

  3. 將 IAM Identity Center 連接至身分提供者，並佈建您要指派給 Studio 的使用者和群組。

    如果您使用... 執行此作業...
    Microsoft AD 目錄

    1. 遵循連線至 Microsoft AD 目錄中的指示，使用 連接自我管理的 Active Directory 或AWS Managed Microsoft AD目錄Directory Service。

    2. 若要佈建 IAM Identity Center 的使用者和群組，可以將來源 AD 的身分資料同步至 IAM Identity Center。可以透過多種方式同步來源 AD 中的身分。其中一種方法是將 AD 使用者或群組指派給組織中的 AWS 帳戶。如需指示，請參閱單一登入。

      同步可能需要長達兩個小時。完成此步驟後，已同步的使用者和群組會出現在 Identity Store 中。

      注意

      在同步使用者和群組資訊或使用即時 (JIT) 使用者佈建之前，使用者和群組不會出現在身分存放區中。如需詳細資訊，請參閱在使用者來自 Active Directory 時進行佈建。

    3. （選用） 同步 AD 使用者和群組之後，您可以移除他們對您在上一個步驟中設定之AWS帳戶的存取權。如需指示，請參閱移除使用者存取權。
    外部身分提供者 遵循連接至外部身分提供者中的指示。
    IAM Identity Center 目錄 在 IAM Identity Center 中建立使用者和群組時，會自動進行佈建。如需詳細資訊，請參閱在 IAM Identity Center 中管理身分。

現在可以將身分存放區中的使用者和群組指派給 EMR Studio。如需說明，請參閱將使用者或群組指派給 EMR Studio。