Настройка Центра управления учетными записями AWS IAM (преемник службы единого входа AWS) для автоматического обеспечения пользователей с помощью Microsoft Entra ID

В этой статье описаны шаги, которые необходимо выполнить в Центре удостоверений AWS IAM (преемник единого входа AWS) и Microsoft Entra ID для настройки автоматической подготовки пользователей. При настройке Microsoft Entra ID автоматически подготавливает и удаляет пользователей и группы в AWS IAM Identity Center с помощью службы подготовки Microsoft Entra. Важные сведения о том, что делает эта служба, как она работает, и ответы на часто задаваемые вопросы см. в разделе Автоматизация предоставления и удаления пользователей в приложениях SaaS с Microsoft Entra ID.

Поддерживаемые возможности

Центр удостоверений AWS IAM доступен в следующих национальных облачных развертываниях.

Предпосылки

В сценарии, описанном в этой статье, предполагается, что у вас уже есть следующие предварительные требования:

• Учетная запись пользователя Microsoft Entra с активной подпиской. Если у вас еще нет учетной записи, вы можете создать ее бесплатно.
• Одна из следующих ролей:
  • Администратор приложений
  • Администратор облачных приложений
  • владелец приложения.

• Подключение SAML из учетной записи Microsoft Entra к Центру удостоверений AWS IAM, как описано в учебнике

Шаг 1. Планирование развертывания снабжения

1. Узнайте, как работает служба обеспечения.
2. Определите, кто находится в охвате настройки.
3. Определите, какие данные следует сопоставить между Microsoft Entra ID и Центром удостоверений AWS IAM.

Шаг 2. Настройка Центра идентификации AWS IAM для поддержки управления учётными записями через Microsoft Entra ID

1. Откройте Центр удостоверений AWS IAM.

2. Выбор параметров в области навигации слева

3. В разделе «Параметры» выберите «Включить» в секции «Автоматическая подстановка».

   

4. В диалоговом окне автоматической подготовки входящего трафика скопируйте и сохраните конечную точку SCIM и Токен доступа (видимые после выбора 'Показать токен'). Эти значения вводятся в поле "URL-адрес арендатора" и "Секретный токен" на вкладке "Подготовка" приложения Центра удостоверений AWS IAM.

Шаг 3. Добавление Центра удостоверений AWS IAM из коллекции приложений Microsoft Entra

Добавьте Центр удостоверений AWS IAM из коллекции приложений Microsoft Entra, чтобы начать управление подготовкой в Центре удостоверений AWS IAM. Если вы ранее настроили центр удостоверений AWS IAM для единого входа, можно использовать то же приложение. Узнайте подробнее о добавлении приложения из галереи здесь.

Шаг 4: Определите, кто входит в область предоставления ресурсов

Служба подготовки Microsoft Entra позволяет определить, кто подготовлен на основе назначения приложению или на основе атрибутов пользователя или группы. Если вы решите настроить, кто будет предоставлен вашему приложению на основе назначения, вы можете использовать шаги для назначения пользователей и групп приложению. Если вы выбираете, кто будет включен в диапазон на основе только атрибутов пользователя или группы, можно использовать фильтр области.

• Начните с малого. Протестируйте небольшой набор пользователей и групп, прежде чем внедрять это для всех. Если область предоставления доступа задана для назначенных пользователей и групп, вы можете управлять этим, назначив одному или двум пользователям или группам доступ к приложению. Если в область включены все пользователи и группы, можно указать фильтр области на основе атрибутов.

• Если вам нужны дополнительные роли, можно обновить манифест приложения, добавить новые роли.

Шаг 5. Настройка автоматической подготовки пользователей в Центре удостоверений AWS IAM (преемник единого входа AWS)

В этом разделе представлены пошаговые рекомендации по настройке службы подготовки Microsoft Entra для создания, обновления и отключения пользователей и/или групп в Центре управления идентификацией AWS IAM (преемник AWS Single Sign-On) на основе назначений пользователей и/или групп в Microsoft Entra ID.

Чтобы настроить автоматическую подготовку пользователей для Центра удостоверений AWS IAM (преемник единого входа AWS) в Microsoft Entra ID:

1. Войдите в центр администрирования Microsoft Entra, по крайней мере, как владелец приложения или администратор облачных приложений.

2. Перейдите к Entra ID>приложениям для предприятий

   

3. В списке приложений выберите AWS IAM Identity Center (преемник единого входа AWS).

   

4. Выберите вкладку Подготовка.

   

5. Выберите + Новая конфигурация.

   

6. В поле Tenant URL введите URL-адрес и секретный токен вашего Центра удостоверений AWS IAM (преемник AWS single sign-on). Выберите Test Connection, чтобы убедиться, что Microsoft Entra ID может подключаться к Центру удостоверений AWS IAM (преемник единого входа AWS). Если подключение завершается сбоем, убедитесь, что у учетной записи AWS IAM Identity Center (преемник единого входа AWS) есть необходимые разрешения администратора и повторите попытку.

   

7. Нажмите кнопку "Создать", чтобы создать конфигурацию.

8. Выберите "Свойства " на странице обзора .

9. Выберите карандаш, чтобы изменить свойства. Включите уведомления и предоставьте сообщение электронной почты для получения сообщений карантина. Включение предотвращения случайных удалений. Выберите Применить, чтобы сохранить изменения.

   

10. Выберите сопоставление атрибутов на левой панели и выберите пользователей.

11. Просмотрите атрибуты пользователя, синхронизированные из Microsoft Entra ID в Центр удостоверений AWS IAM (преемник единого входа AWS) в разделе Attribute-Mapping. Атрибуты, выбранные в качестве свойств сопоставления , используются для сопоставления учетных записей пользователей в Центре удостоверений AWS IAM (преемник единого входа AWS) для операций обновления. Если вы решили изменить соответствующий целевой атрибут, необходимо убедиться, что API AWS IAM Identity Center (преемник единого входа AWS) поддерживает фильтрацию пользователей на основе этого атрибута. Нажмите кнопку Сохранить, чтобы зафиксировать все изменения.

    Атрибут	Тип	Поддерживается для фильтрации
    userName	Струна	✓
    активный	булевый
    отображаемое имя	Струна
    заголовок	Струна
    emails[тип eq "рабочий"].value	Струна
    Предпочтительный язык	Струна
    имя.имяОтчество	Струна
    имя_фамилия	Струна
    имя.отформатировано	Струна
    адреса[тип == "работа"].отформатирован	Струна
    адреса[тип eq "работа"].streetAddress	Струна
    адреса[тип eq "рабочий"].местоположение	Струна
    адреса[тип = "работа"].регион	Струна
    адреса[тип равен "работа"].почтовый индекс	Струна
    адреса[тип eq "работа"].страна	Струна
    Номера телефонов [тип равен "работа"]. значение	Струна
    внешний_идентификатор	Струна
    местность	Струна
    часовой пояс	Струна
    urn:ietf:params:scim:schemas:extension:enterprise:2.0:User:номерСотрудника	Струна
    urn:ietf:params:scim:schemas:extension:enterprise:2.0:Пользователь:департамент	Струна
    urn:ietf:params:scim:schemas:extension:enterprise:2.0:User:подразделение	Струна
    urn:ietf:params:scim:schemas:extension:enterprise:2.0:User:центрЗатрат	Струна
    urn:ietf:params:scim:schemas:extension:enterprise:2.0:User:организация	Струна
    urn:ietf:params:scim:schemas:extension:enterprise:2.0:Пользователь:менеджер	Ссылка

12. Выберите группы.

13. Просмотрите атрибуты группы, синхронизированные из Microsoft Entra ID в Центр удостоверений AWS IAM (преемник единого входа AWS) в разделе Attribute-Mapping. Атрибуты, выбранные в качестве свойств сопоставления, используются для сопоставления групп в AWS IAM Identity Center (преемник AWS Single Sign-On) для операций обновления. Нажмите кнопку Сохранить, чтобы зафиксировать все изменения.

    Атрибут	Тип	Поддерживается для фильтрации
    отображаемое имя	Струна	✓
    внешний_идентификатор	Струна
    члены	Ссылка

14. Чтобы настроить фильтры области, ознакомьтесь с инструкциями, приведенными в статье о фильтре области.

15. Используйте подготовку по запросу для проверки синхронизации с небольшим количеством пользователей перед развертыванием в организации.

16. Когда вы будете готовы к подготовке, выберите "Начать подготовку " на странице обзора .

Шаг 6. Мониторинг развертывания

После настройки подготовки используйте следующие ресурсы для мониторинга развертывания:

1. Используйте журналы подготовки для определения успешной или неудачной подготовки пользователей.
2. Используйте индикатор выполнения, чтобы узнать текущее состояние цикла подготовки ресурсов и насколько близко он к завершению.
3. Если конфигурация предоставления ресурсов кажется неисправной, приложение переходит в режим изоляции. Узнайте больше о состоянии карантина из статьи о состоянии карантина подготовки приложений .

Доступ к приложениям Just-in-time (JIT) с использованием управления привилегированными идентичностями (PIM) для групп

С помощью PIM для групп вы можете предоставить доступ по требованию группам в Amazon Web Services и сократить количество пользователей, которые имеют постоянный доступ к привилегированным группам в AWS.

Настройте корпоративное приложение для единого входа (SSO) и обеспечения

1. Добавьте службу управления идентификацией AWS IAM в ваш тенант, настройте её для предоставления, как описано в приведенной выше статье, и запустите предоставление.
2. Настройка единого входа в AWS IAM Identity Center.
3. Создайте группу, которая предоставляет всем пользователям доступ к приложению.
4. Назначьте группу приложению Центра удостоверений AWS IAM.
5. Назначьте тестового пользователя прямым членом группы, созданной на предыдущем шаге, или предоставьте ему доступ к группе через пакет доступа. Эту группу можно использовать для постоянного доступа без прав администратора в AWS.

Включение PIM для групп

1. Создайте вторую группу в Microsoft Entra ID. Эта группа предоставляет права доступа администратора в AWS.
2. Переведите группу под управление в Microsoft Entra PIM.
3. Назначьте тестового пользователя как подходящего для группы в PIM с ролью участника.
4. Назначьте вторую группу приложению Центра управления удостоверениями AWS IAM.
5. Используйте постоянное предоставление ресурсов по запросу для создания группы в Центре идентификации AWS IAM.
6. Войдите в Центр удостоверений AWS IAM и назначьте второй группе необходимые разрешения для выполнения задач администратора.

Теперь любой конечный пользователь, который назначен для группы в PIM, может получить доступ JIT в группу в AWS, активировав членство в группе.

Основные рекомендации

• Сколько времени требуется для подготовки пользователя к приложению?
  • При добавлении пользователя в группу в Microsoft Entra ID за пределами активации членства в группе с помощью Microsoft Entra ID управление привилегированными пользователями (PIM):
    • Членство в группе включается в приложении во время следующего цикла синхронизации. Цикл синхронизации выполняется каждые 40 минут.
  • Когда пользователь активирует членство в группе в Microsoft Entra ID PIM:
    • Членство в группе предоставляется в течение 2–10 минут. При высокой нагрузке запросов одновременно, запросы ограничиваются до 5 запросов за 10 секунд.
    • Для первых пяти пользователей в течение 10-секундного периода активации членства в группе для определенного приложения членство в группах подготавливается в приложении в течение 2–10 минут.
    • Для шестого и последующих пользователей, активировавших членство в группе для определенного приложения в течение 10 секунд, членство в группе предоставляется приложению в следующем цикле синхронизации. Цикл синхронизации выполняется каждые 40 минут. Ограничения пропускной способности устанавливаются на каждое корпоративное приложение.
• Если пользователь не может access необходимую группу в AWS, просмотрите приведенные ниже советы по устранению неполадок, журналы PIM и журналы подготовки, чтобы убедиться, что членство в группе было обновлено успешно. В зависимости от того, как было разработано целевое приложение, может потребоваться дополнительное время для вступления в силу членства в группе в приложении.
• Оповещения о сбоях можно создавать с помощью Azure Monitor.
• Деактивация выполняется во время регулярного инкрементного цикла. Он не обрабатывается немедленно при помощи поставки по запросу.

Советы по устранению неполадок

Отсутствующие атрибуты

При подготовке пользователя в AWS они должны иметь следующие атрибуты.

• Имя
• фамилия
• отображаемое имя
• userName

Пользователи, у которых нет этих атрибутов, сталкиваются с ошибкой ниже.

Многозначные атрибуты

AWS не поддерживает следующие многозначные атрибуты:

• электронная почта
• номера телефонов

Попытка воспринимать приведенное выше как многозначные атрибуты результатирует в следующем сообщении об ошибке.

Это можно устранить двумя способами.

1. Убедитесь, что пользователь имеет только одно значение для phoneNumber/email
2. Удалите повторяющиеся атрибуты. Например, если два разных атрибута из Microsoft Entra ID сопоставляются с "phoneNumber___" на стороне AWS и оба атрибута содержат значения, это приведет к ошибке. Только один атрибут, сопоставленный с атрибутом "phoneNumber____", устранит ошибку.

Недопустимые знаки

В настоящее время Центр удостоверений AWS IAM не допускает некоторые другие символы, которые поддерживаются Microsoft Entra ID, включая такие символы, как tab (\t), новая строка (\n), возврат каретки (\r) и символы, такие как "<|>|;|:%".

Вы также можете ознакомиться с советами по устранению неполадок в AWS IAM Identity Center здесь.

Дополнительные ресурсы

• Управление подготовкой учетных записей пользователей для корпоративных приложений
• Что такое единый вход в Microsoft Entra ID?

Связанный контент

• Узнайте, как просматривать журналы и получать отчеты о процессе предоставления ресурсов