本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

# 檢查清單： AWS 使用 IAM Identity Center 在 中設定 ABAC
<a name="abac-checklist"></a>

此檢查清單包含準備 AWS 資源和設定 IAM Identity Center for ABAC 存取所需的組態任務。依序完成此檢查清單中的任務。當參考連結帶您前往主題時，請返回此主題，以便您可以繼續此檢查清單中的其餘任務。



- **1**
  - **任務:** 檢閱如何將標籤新增至您的所有 AWS 資源。若要在 IAM Identity Center 中實作 ABAC，您必須先將標籤新增至要實作 ABAC 的所有 AWS 資源。
  - **參考資料:**  +  [標記 AWS 資源](https://docs.aws.amazon.com/general/latest/gr/aws_tagging.html)  

- **2**
  - **任務:** 檢閱如何在 IAM Identity Center 中使用身分存放區中的相關聯使用者身分和屬性來設定身分來源。IAM Identity Center 可讓您從 ABAC in 的任何支援的 IAM Identity Center 身分來源使用使用者屬性 AWS。
  - **參考資料:**  +  [管理您的身分來源](manage-your-identity-source.md)  

- **3**
  - **任務:** 根據下列條件，決定您要在 中用於進行存取控制決策的屬性 AWS ，並將其傳送至 IAM Identity Center。 / **參考資料:**  +  [開始使用](attributesforaccesscontrol.md#abac-getting-started)  
  - **任務:**  +  如果您使用的是外部身分提供者 (IdP)，請決定要使用從 IdP 傳遞的屬性，還是從 IAM Identity Center 中選取屬性。   / **參考資料:**  +  [使用外部身分提供者做為您的身分來源時，選擇屬性](attributesforaccesscontrol.md#abac-getting-started-idp)  
  - **任務:**  +  如果您選擇讓 IdP 傳送屬性，請將 IdP 設定為在 SAML 聲明中傳輸屬性。請參閱特定 IdP 教學課程中的`Optional`章節。   / **參考資料:**  +  [IAM Identity Center 身分來源教學課程](tutorials.md)  
  - **任務:**  +  如果您使用 IdP 做為身分來源，並選擇在 IAM Identity Center 中選取屬性，請調查如何設定 SCIM，讓屬性值來自您的 IdP。如果您無法搭配 IdP 使用 SCIM，請使用 IAM Identity Center 主控台使用者頁面新增**使用者**及其屬性。   / **參考資料:**  +  [使用 SCIM 從外部身分提供者佈建使用者和群組](provision-automatically.md) <br />+  [支援的外部身分提供者屬性](attributemappingsconcept.md#supportedidpattributes)  
  - **任務:**  +  如果您使用 Active Directory 或 IAM Identity Center 做為身分來源，或使用 IdP 並選擇在 IAM Identity Center 中選取屬性，請檢閱您可以設定的可用屬性。然後立即跳到步驟 4，開始使用 IAM Identity Center 主控台設定 ABAC 屬性。   / **參考資料:**  +  [使用 IAM Identity Center 做為您的身分來源時，選擇屬性](attributesforaccesscontrol.md#abac-getting-started-sso) <br />+  [使用 AWS Managed Microsoft AD 做為您的身分來源時選擇屬性](attributesforaccesscontrol.md#abac-getting-started-ms-ad) <br />+  [IAM Identity Center 與 之間的預設映射 Microsoft AD](attributemappingsconcept.md#defaultattributemappings)  

- **4**
  - **任務:** 使用 IAM Identity Center 主控台中的**存取控制屬性頁面，選取要用於 ABAC 的屬性**。從此頁面中，您可以從您在步驟 2 中設定的身分來源選取存取控制的屬性。身分及其屬性位於 IAM Identity Center 之後，您必須建立鍵/值對 （映射），並將其傳遞給 AWS 帳戶 以用於存取控制決策。
  - **參考資料:**  +  [啟用和設定存取控制的屬性](configure-abac.md)  

- **5**
  - **任務:** 在許可集中建立自訂許可政策 （或使用帳戶存取管理員時為 IAM 角色），並使用存取控制屬性來建立 ABAC 規則，讓使用者只能存取具有相符標籤的資源。您在步驟 4 中設定的使用者屬性會做為存取控制決策 AWS 的標籤。您可以使用 `aws:PrincipalTag/key`條件參考許可政策中的存取控制屬性。
  - **參考資料:**  +  [在 IAM Identity Center 中建立 ABAC 的許可政策](configure-abac-policies.md)  

- **6**
  - **任務:** 在各種 中 AWS 帳戶，將使用者指派給您在步驟 5 中建立的許可集。這樣做可確保當他們聯合到其帳戶並存取 AWS 資源時，他們只會根據相符的標籤取得存取權。
  - **參考資料:**  +  [將使用者或群組存取權指派給 AWS 帳戶](assignusers.md)  



完成這些步驟後， AWS 帳戶 使用單一登入聯合到 的使用者將根據相符的屬性來存取其 AWS 資源。