为身份验证响应配置 SAML 断言

以下摘录显示了一个示例。用您自己的值替代标记值。同时包含 SubjectConfirmation 和 SubjectConfirmationData 属性的 NotOnOrAfter 元素必须恰好具有一个 Recipient 元素。这些属性包含的值必须与 AWS 终端节点 (https://signin.aws.amazon.com/saml) 匹配，如以下示例中所示。有关支持用于单一登录交互的名称标识符格式的信息，请参阅 Oracle Sun OpenSSO Enterprise 管理参考。

<Subject>
  <NameID Format="urn:oasis:names:tc:SAML:2.0:nameid-format:persistent">_cbb88bf52c2510eabe00c1642d4643f41430fe25e3</NameID>
  <SubjectConfirmation Method="urn:oasis:names:tc:SAML:2.0:cm:bearer">
    <SubjectConfirmationData NotOnOrAfter="2013-11-05T02:06:42.876Z" Recipient="https://signin.aws.amazon.com/saml"/>
  </SubjectConfirmation>
</Subject>

出于安全原因，AWS 必须作为受众包含在由您的 IdP 发送到 AWS 的 SAML 断言中。因此，Audience 元素的值应与以下两个值之一匹配：https://signin.aws.amazon.com/saml 或 urn:amazon:webservices。以下 SAML 断言中的示例 XML 代码段展示了 IdP 如何指定此密钥。包括适用于您的使用案例的示例。

<Conditions>
  <AudienceRestriction>
    <Audience>https://signin.aws.amazon.com/saml</Audience>
  </AudienceRestriction>
</Conditions>

<Conditions>
  <AudienceRestriction>
    <Audience>urn:amazon:webservices</Audience>
  </AudienceRestriction>
</Conditions>

此元素包含一个或多个 AttributeValue 元素，这些元素可列出用户通过 IdP 映射到的 IAM 角色和 SAML 身份提供商。该角色和身份提供商被指定为逗号分隔的 ARN 对，所采用的格式与传递到 AssumeRoleWithSAML 的 RoleArn 和 PrincipalArn 参数的格式相同。此元素必须包含至少一个角色-提供商对（即至少一个 AttributeValue 元素），并且可以包含多个角色-提供商对。如果该元素包含多个角色-提供商对，则用户将需要选择其使用 WebSSO 登录 AWS 管理控制台时要担任的角色。

<Attribute Name="https://aws.amazon.com/SAML/Attributes/Role">
  <AttributeValue>arn:aws-cn:iam::account-number:role/role-name1,arn:aws-cn:iam::account-number:saml-provider/provider-name</AttributeValue>
  <AttributeValue>arn:aws-cn:iam::account-number:role/role-name2,arn:aws-cn:iam::account-number:saml-provider/provider-name</AttributeValue>
  <AttributeValue>arn:aws-cn:iam::account-number:role/role-name3,arn:aws-cn:iam::account-number:saml-provider/provider-name</AttributeValue>
</Attribute>

该元素包含一个为 AWS 临时凭证提供标识符的 AttributeValue 元素，这些凭证是针对 SSO 颁发的。该元素用于在 AWS 管理控制台中显示用户信息。AttributeValue 元素中的值长度必须介于 2 到 64 个字符之间，只能包含字母数字字符、下划线和以下字符：+（加号）、=（等号）、,（逗号）、.（句点）、@（at 符号）和 -（连字符）。它不能含有空格。该值通常是用户 ID (bobsmith) 或电子邮件地址 (bobsmith@example.com)。该值不应包含空格，如用户的显示名称 (Bob Smith)。

<Attribute Name="https://aws.amazon.com/SAML/Attributes/RoleSessionName">
  <AttributeValue>user-id-name</AttributeValue>
</Attribute>

该元素包含一个 AttributeValue 元素，它指定用户在必须请求新的临时凭证之前可访问 AWS 管理控制台的时间长度。该值是一个表示会话秒数的整数。该值的范围是 900 秒 (15 分钟) 到 43200 秒 (12 小时)。如果该属性不存在，则凭证持续时间为 1 小时 (DurationSeconds API 的 AssumeRoleWithSAML 参数的默认值)。

要使用该属性，您必须配置 SAML 提供商，以通过 https://signin.aws.amazon.com/saml 上的控制台登录 Web 终端节点来提供对 AWS 管理控制台的单一登录访问权限。请注意，该属性仅将会话扩展到 AWS 管理控制台。它不能延长其他凭证的有效期。不过，如果它在 AssumeRoleWithSAML API 调用中存在，则可用于将调用返回的凭证的有效期缩短 至一个小于默认值（60 分钟）的值。

另请注意，如果还定义了 SessionNotOnOrAfter 属性，则两个属性的较小 值（SessionDuration 或 SessionNotOnOrAfter）将建立控制台会话的最大持续时间。

在启用具有更长持续时间的控制台会话时，可能产生凭证外泄的风险。为了帮助您减轻此风险，您可以通过选择 IAM 控制台中的 Role Summary (角色摘要) 页面上的 Revoke Sessions (撤消会话)，来立即禁用任何角色的有效控制台会话。有关更多信息，请参阅撤消 IAM 角色临时安全凭证。

<Attribute Name="https://aws.amazon.com/SAML/Attributes/SessionDuration">
  <AttributeValue>1800</AttributeValue>
</Attribute>