使用和 IAM 身分識別中心設定 SAML Microsoft Entra ID 和 SCIM

至少以雲端應用程式管理員身分登入 Microsoft Entra 系統管理中心。

導覽至身分識別 > 應用程式 > 企業應用程式，然後選擇 [新增應用程式

在 [瀏覽 Microsoft 項目庫] 頁面上，在搜尋方塊AWS IAM Identity Center中輸入。

AWS IAM Identity Center從結果中選取。

選擇建立。

在 Microsoft Entra 系統管理中心主控台中，瀏覽至身分識別 > 使用者 > 所有使用者。

選取 [新增使用者]，然後選擇畫面頂端的 [建立新使用者]。

在 [使用者主要名稱] 中，輸入 NikkiWolf，然後選取您偏好的網域和擴充功能。例如，NikkiWolf@ 例如。

在 [顯示名稱] 中，輸入NikkiWolf。

在密碼中，輸入強式密碼或選取眼睛圖示以顯示自動產生的密碼，然後複製或記下顯示的值。

選擇「內容」，在「名字」中輸入Nikki。在姓氏中，輸入Wolf。

選擇 [檢閱 + 建立]，然後選擇 [建立]。

在同一瀏覽器中，打開一個新標籤，轉到「我的帳戶」門戶登錄頁面，然後輸入 Nikki 的完整電子郵件地址。例如，NikkiWolf@ 例如。

出現提示時，輸入 Nikki 的密碼，然後選擇「登入」。如果這是自動產生的密碼，系統會提示您變更密碼。

在「需要採取處理行動」頁面上，選擇「稍後詢問」以略過其他安全性方法的提示。

在 [我的帳戶] 頁面的左側導覽窗格中，選擇 [我的應用程式]。請注意，除了增益集之外，此時不會顯示任何應用程式。您將添加一個AWS IAM Identity Center應用程序，該應用程序將在稍後的步驟中顯示在此處

在 Microsoft Entra 系統管理中心主控台中，瀏覽至身分識別 > 應用程式 > 企業應用程式，然後AWS IAM Identity Center從清單中選擇。

在左側，選擇 [使用者和群組]。

選擇 Add user/group (新增使用者/群組)。您可以忽略說明群組無法指派的訊息。此自學課程不會使用群組進行指派。

在「新增指定」頁面的「使用者」下，選擇「無選取項目」。

選取 NikkiWolf，然後選擇 [選取]。

在「新增指派」頁面上，選擇指派。 NikkiWolf 現在會顯示在指派給AWS IAM Identity Center應用程式的使用者清單中。

開啟 IAM 身分中心主控台。

在 [多帳戶權限] 下，選擇 [權限集]。

選擇 Create permission set (建立許可集合)。

在 [選取權限集類型] 頁面上，選取 [自訂權限集]，然後選擇 [下一步]。

選取 [內嵌原則] 將其展開，然後使用下列步驟建立權限集的原則：

1. 選擇新增陳述式來建立政策聲明。

2. 在 [編輯對帳單] 下方，從清單中選取 [帳戶]，然後選擇下列核取方塊。

   • ListRegions

   • GetRegionOptStatus

   • DisableRegion

   • EnableRegion

3. 在 Add a resource (新增資源) 旁邊，選擇 Add (新增)。

4. 在 [新增資源] 頁面的 [資源類型] 下，選取 [所有資源]，然後選擇 [新增資源]。確認您的政策如下所示：

   {
       "Statement": [
           {
               "Sid": "Statement1",
               "Effect": "Allow",
               "Action": [
                   "account:ListRegions",
                   "account:DisableRegion",
                   "account:EnableRegion",
                   "account:GetRegionOptStatus"
               ],
               "Resource": [
                   "*"
               ]
           }
       ]
   }

選擇下一步。

在 [指定權限集詳細資料] 頁面上的 [權限集名稱] 下，輸入 RegionalAdmin，然後選擇 [下一步]。

在 Review and create (檢閱和建立) 頁面上，選取 Create (建立)。您應該RegionalAdmin會看到顯示在權限集清單中。

開啟 IAM 身分中心主控台。

選擇 [使用者]，選擇 [新增使用者]，然後提供下列資訊：

1. 對於 [使用者名稱] 和 [電子郵件地址] — 輸入與建NikkiWolf立使用者時所使用的公司網域 .副檔名相同。Microsoft Entra ID例如，NikkiWolf@ 例如。

2. 確認電子郵件地址 — 重新輸入上一步的電子郵件地址

3. 名字 — 輸入 Nikki

4. 姓氏 — 輸入 Wolf

5. 顯示名稱 — 輸入 Nikki Wolf

選擇「下一步」兩次，然後選擇「新增用戶

請選擇 Close (關閉)。

開啟 IAM 身分中心主控台。

在「多帳戶權限」下，選擇 AWS 帳戶「」。

選取您要授與 Nikki 管理區域存取權的帳戶名稱 (例如沙盒) 旁邊的核取方塊，然後選擇 [指派使用者和群組]。

在 [指派使用者和群組] 頁面上，選擇 [使用者] 索引標籤，尋找並勾選 Nikki 旁邊的核取方塊，然後選擇 [下一步]。

在 IAM 身分中心主控台中，選擇 [設定]。

在 [設定] 頁面上，選擇 [識別來源] 索引標籤，然後選擇 [動作] > [變更身分識別來源]

在 [選擇身分識別來源] 頁面上，選取 [外部身分識別提供者]，然後選擇 [下

在 [設定外部身分識別提供者] 頁面的 [服務提供者中繼資料] 下，選擇 [下載中繼資料檔案] 以下載 XML 檔

在同一部分中，找到AWS 訪問門戶登錄 URL 值並將其複制。在下一個步驟中出現提示時，您將需要輸入此值。

保持此頁面處於開啟狀態，然後移至下一個步驟 (Step 3.2) 以在中設定 AWS IAM Identity Center 企業應用程式Microsoft Entra ID。稍後，您將返回此頁面以完成該過程。

在 Microsoft Entra 系統管理中心主控台中，瀏覽至身分識別 > 應用程式 > 企業應用程式，然後選擇AWS IAM Identity Center。

在左側，選擇 2。設定單一登入。

在「使用 SAML 設定單一登入」頁面上，選擇 SAML。然後選擇 [上傳中繼資料檔案]、選擇資料夾圖示、選取您在上一個步驟中下載的服務提供者中繼資料檔案，然後選擇 [新增]。

在「基本 SAML 組態」頁面上，確認識別碼和回覆 URL 值現在都指向開頭為 AWS 的端點。https://<REGION>.signin.aws.amazon.com/platform/saml/

在 [登入 URL (選用)] 底下，貼上您在上一個步驟 (Step 3.1) 複製的存AWS 取入口網站登入 URL 值，選擇 [儲存]，然後選擇 [X] 以關閉視窗。

如果系統提示您測試單一登入 AWS IAM Identity Center，請選擇否，稍後再測試。您將在稍後的步驟中進行此驗證。

在「使用 SAML 設定單一登入」頁面的「SAML 憑證」區段的「同盟中繼資料 XML」旁，選擇「下載」，將中繼資料檔案儲存至您的系統。在下一個步驟中出現提示時，您將需要上傳此檔案。

返回您Step 3.1在 IAM 身分中心主控台中保持開啟狀態的瀏覽器工作階段。

在 [設定外部身分識別提供者] 頁面的 [身分識別提供者中繼資料] 區段的 [IdP SAML 中繼資料] 下，選擇 [選擇檔案] 按鈕，然後選取您在上一個步驟中下載的身分識別提供者Microsoft Entra ID中繼資料檔案，然後選擇 [開啟]。

選擇下一步。

閱讀免責聲明並準備繼續之後，請輸入ACCEPT。

選擇 [變更身分識別來源] 以套用變更。

轉到「我的帳戶」門戶登錄頁面，然後輸入 Nikki 的完整電子郵件地址。例如，NikkiWolf@ 例如。

出現提示時，輸入 Nikki 的密碼，然後選擇「登入」。

在 [我的帳戶] 頁面的左側導覽窗格中，選擇 [我的應用程式]。

在「我的應用程式」頁面上，選取名為的應用程式AWS IAM Identity Center。這應該會提示您進行額外的驗證。

在微軟的登入頁面上，選擇您的 NikkiWolf 認證。如果系統再次出現驗證提示，請再次選擇您的 NikkiWolf 認證。這會自動將您重新導向至 AWS 存取入口網站。

確認您看到顯示「AWS 帳戶 」圖示。

在 AWS 存取入口網站中，選擇「AWS 帳戶」圖示 以展開帳戶清單。選擇圖示後，與您已定義權限集的任何帳戶相關聯的帳戶名稱、帳戶 ID 和電子郵件地址都會顯示出來。

選擇您套用權限集的帳戶名稱 (例如沙箱) (請參閱 Step 2.3)。這將擴大 Nikki 可以選擇來管理其帳戶的權限集列表。

接下來，RegionalAdmin選擇 [管理主控台]，以承擔您在RegionalAdmin權限集中定義的角色。這會將您重定向到 AWS Management Console 主頁。

在主機右上角，選擇您的帳戶名稱，然後選擇 [帳戶]。這將帶您進入「帳戶」頁面。請注意，此頁面上的所有其他區段都會顯示一則訊息，指出您沒有檢視或修改這些設定的必要權限。

在 [帳戶] 頁面上，向下捲動至 [區域] AWS 區段。選取表格中任何可用「區域」的核取方塊。請注意，Nikki 確實具有必要的權限來啟用或禁用她的帳戶的區域列表。

在 Microsoft Entra 系統管理中心主控台中，瀏覽至身分識別 > 使用者 > 所有使用者。

選取 [新增使用者]，然後選擇畫面頂端的 [建立新使用者]。

在 [使用者主要名稱] 中，輸入 RichRoe，然後選取您偏好的網域和擴充功能。例如，RichRoe@ 例如。

在 [顯示名稱] 中，輸入RichRoe。

在密碼中，輸入強式密碼或選取眼睛圖示以顯示自動產生的密碼，然後複製或記下顯示的值。

選擇 [內容]，然後提供下列值：

選擇 [檢閱 + 建立]，然後選擇 [建立]。

開啟 IAM 身分中心主控台，然後在左側導覽窗格中選擇 [設定]。

在 [設定] 頁面的 [身分識別來源] 索引標籤下，請注意佈建方法已設定為手動。

找到 [自動佈建資訊] 方塊，然後選擇 [啟用]。這會立即在 IAM 身分中心啟用自動佈建，並顯示必要的 SCIM 端點和存取權杖資訊。

在「輸入自動佈建」對話方塊中，複製下列選項的每個值。當您在中配置佈建時，您需要在下一個步驟中貼上這些步驟Microsoft Entra ID。

1. SCIM 端點-例如，https://scim。 us-east-2. 亞馬遜公司/111111111-2222-3333-4444-5555555555 /scim/V2/

2. 存取權杖-選擇顯示權杖以複製值。

選擇關閉。

在 [身分識別來源] 索引標籤下，請注意佈建方法現在已設定為 SCIM。

在 Microsoft Entra 系統管理中心主控台中，瀏覽至身分識別 > 應用程式 > 企業應用程式，然後選擇AWS IAM Identity Center。

選擇佈建，在管理下，再次選擇佈建。

在佈建模式中，選取自動。

在 [管理員認證] 下的 [租用戶 URL] 中，貼上您先前複製的 SCIM 端點 URL 值。Step 4.1在秘密權杖中，貼上存取權杖值。

選擇 Test Connection (測試連接)。您應該會看到一則訊息，指出已成功授權測試的認證可以啟用佈建。

選擇儲存。

在 [管理] 下，選擇 [使用者和群組]，然後選擇 [新增使用者/群組]。

在「新增指定」頁面的「使用者」下，選擇「無選取項目」。

選取 RichRoe，然後選擇 [選取]。

在 Add Assignment (新增指派) 頁面上，選擇 Assign (指派)。

選擇 [概觀]，然後選擇 [開始佈建]。

在 IAM 身分中心主控台中，選擇 [使用者]。

在 [使用者] 頁面上，您應該會看到您的RichRoe使用者已顯示。請注意，「建立者」欄中的值設定為 SCIM。

在「設定檔」下選擇 RichRoe，確認下列屬性是否已複製來源Microsoft Entra ID。

現在 Richard 的使用者已在 IAM 身分中心建立，您可以將其指派給任何權限集，以便控制他對您 AWS 資源的存取層級。例如，您可以指派RichRoe給先前用來授與 Nikki 管理區域的權限集 (請參閱 Step 2.3)，然後使Step 3.5用來測試其存取層級。RegionalAdmin

在 Microsoft Entra 系統管理中心主控台中，瀏覽至身分識別 > 應用程式 > 企業應用程式，然後選擇AWS IAM Identity Center。

選擇 Single sign-on (單一登入)。

在「屬性與聲明」區段中，選擇 「編輯」。

在「屬性與宣告」頁面上，執行下列動作：

1. 選擇 [新增索賠]

2. 針對名稱，輸入 AccessControl:AttributeName。以 IAM 身分中心預期的屬性名稱取AttributeName代。例如 AccessControl:Department。

3. 針對 Namespace (命名空間)，輸入 https://aws.amazon.com/SAML/Attributes。

4. 針對 Source (來源)，選擇 Attribute (屬性)。

5. 對於「來源」屬性，請使用下拉式清單來選擇使用Microsoft Entra ID者屬性。例如 user.department。

針對需要在 SAML 宣告中傳送至 IAM 身分中心的每個屬性重複上述步驟。

選擇儲存。