SCIM 使用 設定 SAML和 Microsoft Entra ID 和 IAM Identity Center

至少以雲端應用程式管理員身分登入 Microsoft Entra 管理中心。

導覽至身分 > 應用程式 > 企業應用程式，然後選擇新應用程式。

在瀏覽 Microsoft Entra Gallery 頁面上，AWS IAM Identity Center在搜尋方塊中輸入 。

AWS IAM Identity Center 從結果中選取 。

選擇 Create (建立)。

在 Microsoft Entra 管理中心主控台中，導覽至身分 > 使用者 > 所有使用者。

選取新使用者，然後在畫面頂端選擇建立新使用者。

在使用者主體名稱中，輸入 NikkiWolf，然後選取您偏好的網域和延伸。例如，NikkiWolf@example.org。

在顯示名稱中，輸入 NikkiWolf。

在密碼中，輸入強式密碼或選取眼睛圖示以顯示自動產生的密碼，然後複製或寫下顯示的值。

選擇屬性，在名字中輸入 Nikki。在姓氏中，輸入 Wolf。

選擇檢閱 + 建立，然後選擇建立。

在相同的瀏覽器中，開啟新的索引標籤，前往我的帳戶入口網站登入頁面，然後輸入 Nikki 的完整電子郵件地址。例如，NikkiWolf@example.org。

出現提示時，輸入 Nikki 的密碼，然後選擇登入。如果這是自動產生的密碼，系統會提示您變更密碼。

在必要動作頁面上，選擇稍後請求以略過其他安全方法的提示。

在我的帳戶頁面的左側導覽窗格中，選擇我的應用程式。請注意，除了增益集之外，目前不會顯示任何應用程式。您將新增AWS IAM Identity Center應用程式，稍後將在此顯示。

在 Microsoft Entra 管理中心主控台中，導覽至身分 > 應用程式 > 企業應用程式，AWS IAM Identity Center然後從清單中選擇。

在左側，選擇使用者和群組。

選擇 Add user/group (新增使用者/群組)。您可以忽略訊息，指出群組無法進行指派。本教學課程不會使用群組進行指派。

在新增指派頁面的使用者下，選擇未選取。

選取 NikkiWolf，然後選擇選取。

在新增指派頁面上，選擇 Assign. NikkiWolf now 會出現在指派給AWS IAM Identity Center應用程式的使用者清單中。

開啟 IAM Identity Center 主控台。

在多帳戶許可下，選擇許可集。

選擇 Create permission set (建立許可集合)。

在選取許可集類型頁面上，選取自訂許可集，然後選擇下一步。

選取內嵌政策以展開，然後使用下列步驟建立許可集的政策：

1. 選擇新增陳述式以建立政策陳述式。

2. 在編輯陳述式下，從清單中選擇帳戶，然後選擇下列核取方塊。

   • ListRegions

   • GetRegionOptStatus

   • DisableRegion

   • EnableRegion

3. 在 Add a resource (新增資源) 旁邊，選擇 Add (新增)。

4. 在新增資源頁面的資源類型下，選取所有資源，然後選擇新增資源。確認您的政策如下所示：

   {
       "Statement": [
           {
               "Sid": "Statement1",
               "Effect": "Allow",
               "Action": [
                   "account:ListRegions",
                   "account:DisableRegion",
                   "account:EnableRegion",
                   "account:GetRegionOptStatus"
               ],
               "Resource": [
                   "*"
               ]
           }
       ]
   }

選擇 Next (下一步)。

在指定許可集詳細資訊頁面的許可集名稱下，輸入 RegionalAdmin，然後選擇下一步。

在 Review and create (檢閱和建立) 頁面上，選取 Create (建立)。您應該會在許可集清單中看到 RegionalAdmin 。

開啟 IAM Identity Center 主控台。

選擇使用者，選擇新增使用者，然後提供以下資訊：

1. 針對使用者名稱和電子郵件地址 – 輸入您在建立 時所使用的相同 NikkiWolf@yourcompanydomain.extension Microsoft Entra ID 使用者。例如，NikkiWolf@example.org。

2. 確認電子郵件地址 – 重新輸入上一個步驟的電子郵件地址

3. 名字 – 輸入 Nikki

4. 姓氏 – 輸入 Wolf

5. 顯示名稱 – 輸入 Nikki Wolf

選擇下一步兩次，然後選擇新增使用者。

請選擇 Close (關閉)。

開啟 IAM Identity Center 主控台。

在多帳戶許可下，選擇 AWS 帳戶。

選取您要授予 Nikki 存取權以管理區域的帳戶名稱 （例如 Sandbox) 旁的核取方塊，然後選擇指派使用者和群組。

在指派使用者和群組頁面上，選擇使用者索引標籤，尋找並勾選 Nikki 旁的方塊，然後選擇下一步。

在 IAM Identity Center 主控台中，選擇設定。

在設定頁面上，選擇身分來源索引標籤，然後選擇動作 > 變更身分來源。

在選擇身分來源頁面上，選取外部身分提供者，然後選擇下一步。

在設定外部身分提供者頁面的服務提供者中繼資料下，選擇下載中繼資料檔案以下載XML檔案。

在相同區段中，找到AWS 存取入口網站登入URL值並複製它。在下一個步驟中出現提示時，您將需要輸入此值。

讓此頁面保持開啟，然後移至下一個步驟 (Step 3.2) 以在 中設定 AWS IAM Identity Center 企業應用程式 Microsoft Entra ID。 稍後，您將返回此頁面以完成程序。

在 Microsoft Entra 管理中心主控台中，導覽至身分 > 應用程式 > 企業應用程式，然後選擇 AWS IAM Identity Center。

在左側，選擇 2。設定單一登入。

在使用 設定單一登入SAML頁面上，選擇 SAML。然後選擇上傳中繼資料檔案，選擇資料夾圖示，選取您在上一個步驟中下載的服務提供者中繼資料檔案，然後選擇新增。

在基本SAML組態頁面上，確認識別碼和回覆URL值現在都指向以 開頭 AWS 的端點https://<REGION>.signin.aws.amazon.com/platform/saml/。

在登入 URL（選用） 下，貼上您在上一個步驟 (Step 3.1) 中複製的AWS 存取入口網站登入URL值，選擇儲存，然後選擇 X 關閉視窗。

如果出現使用 測試單一登入的提示 AWS IAM Identity Center，請選擇否 我稍後會測試。您將在後續步驟中執行此驗證。

在使用 設定單一登入SAML頁面上，於聯合中繼資料 XML旁的SAML憑證區段中，選擇下載以將中繼資料檔案儲存至您的系統。在下一個步驟中出現提示時，您將需要上傳此檔案。

返回您在 IAM Identity Center 主控台Step 3.1中保持開啟的瀏覽器工作階段。

在設定外部身分提供者頁面上，於身分提供者中繼資料區段的 IdP SAML中繼資料下，選擇選擇檔案按鈕，然後選取您從中下載的身分提供者中繼資料檔案 Microsoft Entra ID 在上一個步驟中，然後選擇開啟。

選擇 Next (下一步)。

在您閱讀免責聲明並準備好繼續之後，請輸入 ACCEPT。

選擇變更身分來源以套用您的變更。

前往我的帳戶入口網站登入頁面，然後輸入 Nikki 的完整電子郵件地址。例如，NikkiWolf@example.org。

出現提示時，輸入 Nikki 的密碼，然後選擇登入。

在我的帳戶頁面的左側導覽窗格中，選擇我的應用程式。

在我的應用程式頁面上，選取名為 的應用程式AWS IAM Identity Center。這應該會提示您進行其他身分驗證。

在 Microsoft 的登入頁面上，選擇您的 NikkiWolf 登入資料。如果提示再次進行身分驗證，請再次選擇您的 NikkiWolf 登入資料。這應該會自動將您重新導向至 AWS 存取入口網站。

確認您的 AWS 帳戶 顯示器。

在 AWS 存取入口網站中，選擇帳戶索引標籤以顯示帳戶清單。與您已定義許可集之任何帳戶相關聯的帳戶名稱IDs、帳戶 和電子郵件地址隨即出現。

選擇您套用許可集的帳戶名稱 （例如 Sandbox) （請參閱 Step 2.3)。這將展開 Nikki 可以從中選擇以管理其帳戶的許可集清單。

接下來，RegionalAdmin選擇 Management 主控台以擔任您在RegionalAdmin許可集中定義的角色。這會將您重新導向至 AWS Management Console 首頁。

在主控台的右上角，選擇您的帳戶名稱，然後選擇帳戶。這將帶您前往帳戶頁面。請注意，此頁面的所有其他區段會顯示訊息，指出您沒有檢視或修改這些設定的必要許可。

在帳戶頁面上，向下捲動至AWS 區域區段。選取資料表中任何可用區域的核取方塊。請注意，Nikki 確實具備必要許可，可如預期啟用或停用其帳戶的 區域清單。

在 Microsoft Entra 管理中心主控台中，導覽至身分 > 使用者 > 所有使用者。

選取新使用者，然後在畫面頂端選擇建立新使用者。

在使用者主體名稱中，輸入 RichRoe，然後選取您偏好的網域和延伸。例如，RichRoe@example.org。

在顯示名稱中，輸入 RichRoe。

在密碼中，輸入強式密碼或選取眼睛圖示以顯示自動產生的密碼，然後複製或寫下顯示的值。

選擇屬性，然後提供下列值：

選擇檢閱 + 建立，然後選擇建立。

開啟 IAM Identity Center 主控台，然後在左側導覽窗格中選擇設定。

在設定頁面的身分來源索引標籤下，請注意佈建方法設定為手動。

找到自動佈建資訊方塊，然後選擇啟用。這會立即在 IAM Identity Center 中啟用自動佈建，並顯示必要的SCIM端點和存取字符資訊。

在傳入自動佈建對話方塊中，複製下列選項的每個值。在 中設定佈建時，您需要在下一個步驟中貼上這些項目 Microsoft Entra ID.

1. SCIM endpoint - 例如，https://scim.us-east-2.amazonaws.com/11111111111-2222-3333-4444-555555555555/scim/v2

2. 存取字符 - 選擇顯示字符以複製值。

選擇關閉。

在身分來源索引標籤下，請注意佈建方法現在已設定為 SCIM。

在 Microsoft Entra 管理中心主控台中，導覽至身分 > 應用程式 > 企業應用程式，然後選擇 AWS IAM Identity Center。

在管理下選擇佈建，再次選擇佈建。

在佈建模式中，選取自動。

在 Admin Credentials 下，在租戶URL中，貼到您在 中稍早複製的SCIM端點URL值。 Step 4.2在秘密權杖中，貼上存取權杖值。

選擇 Test Connection (測試連接)。您應該會看到一則訊息，指出測試的登入資料已成功授權以啟用佈建。

選擇 Save (儲存)。

在管理下，選擇使用者和群組，然後選擇新增使用者/群組。

在新增指派頁面的使用者下，選擇未選取。

選取 RichRoe，然後選擇選取。

在 Add Assignment (新增指派) 頁面上，選擇 Assign (指派)。

選擇概觀，然後選擇開始佈建。

在 IAM Identity Center 主控台中，選擇使用者。

在使用者頁面上，您應該會看到顯示您的RichRoe使用者。請注意，在建立者資料欄中，值設定為 SCIM。

在設定檔RichRoe下選擇 ，確認下列屬性已從 複製 Microsoft Entra ID.

現在，Richard 的使用者已在 IAM Identity Center 中建立，您可以將其指派給任何許可集，以便控制他對 AWS 資源的存取層級。例如，您可以將 RichRoe指派給先前用來授予 Nikki 管理區域 （請參閱Step 2.3) 的許可RegionalAdmin集，然後使用 測試他的存取層級Step 3.5。

在 Microsoft Entra 管理中心主控台中，導覽至身分 > 應用程式 > 企業應用程式，然後選擇 AWS IAM Identity Center。

選擇 Single sign-on (單一登入)。

在屬性和宣告區段中，選擇編輯。

在屬性和宣告頁面上，執行下列動作：

1. 選擇新增宣告

2. 針對名稱，輸入 AccessControl:AttributeName。AttributeName 以您在 IAM Identity Center 中預期的屬性名稱取代 。例如：AccessControl:Department。

3. 針對 Namespace (命名空間)，輸入 https://aws.amazon.com/SAML/Attributes。

4. 針對 Source (來源)，選擇 Attribute (屬性)。

5. 對於來源屬性，請使用下拉式清單來選擇 Microsoft Entra ID 使用者屬性。例如：user.department。

針對您需要傳送至SAML聲明中 IAM Identity Center 的每個屬性，重複上述步驟。

選擇 Save (儲存)。