本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

使用 IAM 和設定 IdP 聯盟 QuickSight

您可以使用 AWS Identity and Access Management (IAM) 角色和轉送狀態 URL 來設定符合 SAML 2.0 的身分識別提供者 (IdP)。該角色授予用戶訪問 Amazon 的權限 QuickSight。轉送狀態是指使用者在驗證成功之後轉寄至的入口網站 AWS。

必要條件

設定 SAML 2.0 連線之前，請執行下列動作：

建立與自學課程中所述聯合的設置後，您可以編輯自學課程中提供的轉送狀態。 AWS Management Console 您可以使用 Amazon 的中繼狀態執行此操作 QuickSight，請參閱以下步驟 5 中所述。

如需詳細資訊，請參閱下列資源：

步驟 1：在中建立 SAML 提供者 AWS

您的 SAML 身分識別提供者會將組織的 IdP 定義為。 AWS這會使用您先前使用 IdP 產生的中繼資料文件進行定義。

步驟 2：在 AWS 中為聯合身分使用者設定許可

接著，建立 IAM 角色，以便建立 IAM 和組織的 IdP 之間的信任關係。這個角色會基於聯合目的將您的 IdP 識別為委託人 (信任的實體)。該角色還定義了允許哪些經過組織 IdP 驗證的使用者存取 Amazon QuickSight。如需有關建立用於 SAML IdP 的角色的詳細資訊，請參閱《IAM 使用者指南》中的為 SAML 2.0 聯合身分建立角色。

建立角色之後，您可以 QuickSight透過將內嵌政策附加到角色，將角色限制為僅具有 Amazon 的許可。以下政策文件範例可讓您存取 Amazon QuickSight。此政策允許用戶訪問 Amazon， QuickSight 並允許他們創建作者帳戶和讀者帳戶。

    {
    "Statement": [
        {
            "Action": [
                "quicksight:CreateUser"
            ],
            "Effect": "Allow",
            "Resource": [
                "arn:aws:quicksight::<YOUR_AWS_ACCOUNT_ID>:user/${aws:userid}"
            ]
        }
    ],
    "Version": "2012-10-17"
    }
    

如果您想要提供對 Amazon 的存取權，以 QuickSight 及建立 Amazon QuickSight 管理員、作者 (標準使用者) 和讀者的功能，您可以使用下列政策範例。

    {
    "Statement": [
        {
            "Action": [
                "quicksight:CreateAdmin"
            ],
            "Effect": "Allow",
            "Resource": [
                "arn:aws:quicksight::<YOUR_AWS_ACCOUNT_ID>:user/${aws:userid}"
            ]
        }
    ],
    "Version": "2012-10-17"
    }
                

您可以在中檢視帳戶詳細資訊 AWS Management Console。

在您設定一項或多項 SAML 和 IAM 政策之後，您不需要手動邀請使用者。使用者第一次開啟 Amazon 時 QuickSight，會使用政策中最高層級的許可自動佈建它們。例如，如果使用者有 quicksight:CreateUser 和 quicksight:CreateReader 的許可，則系統會將這些使用者佈建為作者。如果使用者也有 quicksight:CreateAdmin 的許可，則會佈建成為管理員。每個許可層級均能夠建立相同層級和以下層級的使用者。例如，作者可以新增其他作者或讀者。

在邀請使用者的人員所指派的角色中，會建立獲得手動邀請的使用者。使用者不需要有授予許可的政策。

步驟 3：設定 SAML IdP

建立 IAM 角色後，請以服務提供者身分更新您的 SAML IdP。 AWS 為此，請安裝在 https://signin.aws.amazon.com/static/saml-metadata.xml 找到的 saml-metadata.xml 檔案。

若要更新 IdP 中繼資料，請參閱 IdP 提供的指示。部分提供者為您提供了輸入該 URL 的選項，此後，IdP 將為您取得並安裝該檔案。另一些提供者則要求您從該 URL 處下載檔案，然後將其做為本機檔案提供。

如需詳細資訊，請參閱 IdP 文件。

步驟 4：為 SAML 身分驗證回應建立聲明

接下來，設定 IdP 作為 SAML 屬性傳遞的資訊， AWS 做為驗證回應的一部分。如需詳細資訊，請參閱《IAM 使用者指南》中的的為身分驗證回應設定 SAML 聲明。

步驟 5：設定聯合的轉送狀態

最後，將同盟的轉送狀態設定為指向 QuickSight轉送狀態 URL。成功驗證之後 AWS，使用者會被導向至 Amazon QuickSight，並定義為 SAML 身份驗證回應中的轉送狀態。

Amazon QuickSight 的中繼狀態 URL 如下。

https://quicksight.aws.amazon.com