清单： Amazon 使用 IAM 身份中心配置 ABAC - Amazon IAM Identity Center
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

清单： Amazon 使用 IAM 身份中心配置 ABAC

此清单包括准备您的 Amazon 资源和设置 IAM Identity Center 以进行 ABAC 访问所需的配置任务。按顺序完成此清单中的任务。当参考链接将您带到某个主题时，请返回到该主题，以便您可以继续执行此清单中的其余任务。

步骤 任务 参考
1 查看如何为所有 Amazon 资源添加标签。要在 IAM Identity Center 中实施 ABAC，您首先需要向要实施 ABAC 的所有 Amazon 资源添加标签。
2 查看如何使用身份存储中的关联用户身份和属性在 IAM Identity Center 中配置您的身份源。IAM Identity Center 允许您在中使用 ABAC 中 Amazon任何支持的 IAM 身份中心身份源的用户属性。
3 根据以下标准，确定要使用哪些属性来做出访问控制决策，然后将其发送到 IAM I Amazon dentity Center。

  • 如果您使用外部身份提供者（IdP），请决定是要使用从 IdP 传递的属性还是从 IAM Identity Center 中选择属性。

  • 如果您选择让 IdP 发送属性，请将 IdP 配置为在 SAML 断言中传输属性。请参阅教程中有关您的特定 IdP 的Optional章节。

  • 如果您使用 IdP 作为身份源并选择在 IAM Identity Center 中选择属性，请研究如何配置 SCIM 以便属性值来自您的 IdP。如果您无法将 SCIM 与 IdP 一起使用，则使用 IAM Identity Center 控制台用户页面添加用户及其属性。

  • 如果您使用 Active Directory 或 IAM Identity Center 作为身份源，或者使用 IdP 并选择在 IAM Identity Center 中选择属性，则查看您可以配置的可用属性。然后立即跳至步骤 4，开始使用 IAM Identity Center 控制台配置您的 ABAC 属性。
4

使用 IAM Identity Center 控制台中的访问控制属性页面选择要用于 ABAC 的属性。在此页面中，您可以从步骤 2 中配置的身份源中选择访问控制属性。在您的身份及其属性进入 IAM Identity Center 后，您必须创建键值对（映射），这些键值对将传递给您以 Amazon Web Services 账户 用于访问控制决策。
5

在权限集中创建自定义权限策略，并使用访问控制属性创建 ABAC 规则，以便用户只能访问具有匹配标签的资源。您在步骤 4 中配置的用户属性将用作 Amazon 中的标签来做出访问控制决策。您可以使用 aws:PrincipalTag/key 条件引用权限策略中的访问控制属性。
6

在您的各种权限集中 Amazon Web Services 账户，将用户分配给您在步骤 5 中创建的权限集。这样做可以确保当他们联合账户并访问 Amazon 资源时，他们只能根据匹配的标签获得访问权限。

完成这些步骤后，联合 Amazon Web Services 账户 使用单点登录的用户将根据匹配的属性访问其 Amazon 资源。