通过 Microsoft Entra ID 和 IAM Identity Center 配置 SAML 和 SCIM

至少以云应用程序管理员的身份登录 Microsoft Entra 管理中心。

导航到身份 > 应用程序 > 企业应用程序，然后选择新应用程序。

在浏览 Microsoft Entra Gallery页面上，在搜索框中输入 Amazon IAM Identity Center。

从结果区域中选择 Amazon IAM Identity Center。

选择创建。

在 Microsoft Entra 管理中心控制台，导航到身份 > 用户 > 所有用户。

选择新用户，然后选择屏幕顶部的创建新用户。

在用户主体名称中，输入 NikkiWolf，然后选择您喜欢的域和扩展。例如，NikkiWolf@example.org。

在显示名称中，输入 NikkiWolf。

在密码中输入高强度密码，或选择眼睛图标，显示自动生成的密码，然后复制或写下显示的值。

选择属性，在名字中输入 Nikki。在姓氏中，输入 Wolf。

选择审核并创建，然后选择创建。

在同一个浏览器中打开新标签页，前往我的账户门户登录页面，然后输入 Nikki 的完整电子邮件地址。例如，NikkiWolf@example.org。

出现提示时，输入 Nikki 的密码，然后选择登录。如果密码是自动生成的，系统将提示您更改密码。

在需要执行的操作页面，选择稍后询问，绕过关于其他安全方法的提示。

在我的账户页面的左侧导航栏中，选择我的应用程序。请注意，除加载项外，此时不会显示任何应用程序。您将添加一个 Amazon IAM Identity Center 应用程序，在稍后的步骤中，其将显示在此处。

在 Microsoft Entra 管理中心控制台，导航到身份 > 应用程序 > 企业应用程序，然后从列表中选择 Amazon IAM Identity Center。

在左侧，选择用户和组。

选择添加用户/组。您可以忽略组不可用于分配的消息。此教程不使用组进行分配。

在添加分配页面，在用户下选择未选择任何对象。

选择 NikkiWolf，然后选择选择。

在添加分配页面，选择分配。现在，NikkiWolf 出现在分配给 Amazon IAM Identity Center 应用程序的用户列表中。

打开 IAM Identity Center 控制台。

在多账户权限下，选择权限集。

选择创建权限集。

在选择权限集类型页面，选择自定义权限集，然后选择下一步。

选择内联策略，将其展开，然后使用以下步骤为权限集创建策略：

1. 选择添加新声明，以创建策略语句。

2. 在编辑语句下，从列表中选择账户，然后选中以下复选框。

   • ListRegions

   • GetRegionOptStatus

   • DisableRegion

   • EnableRegion

3. 在添加资源旁边，选择添加。

4. 在添加资源页面的资源类型下，选择所有资源，然后选择添加资源。验证您的策略是否如下所示：

   {
       "Statement": [
           {
               "Sid": "Statement1",
               "Effect": "Allow",
               "Action": [
                   "account:ListRegions",
                   "account:DisableRegion",
                   "account:EnableRegion",
                   "account:GetRegionOptStatus"
               ],
               "Resource": [
                   "*"
               ]
           }
       ]
   }

选择下一步。

在指定权限集详细信息页面的权限集名称下，输入 RegionalAdmin，然后选择下一步。

在审核和创建页面，选择创建。您应该会看到 RegionalAdmin 显示在权限集列表中。

打开 IAM Identity Center 控制台。

选择用户，选择添加用户，然后提供以下信息：

1. 对于用户名和电子邮件地址 - 输入创建 Microsoft Entra ID 用户时使用的 NikkiWolf@yourcompanydomain.extension。例如，NikkiWolf@example.org。

2. 确认电子邮件地址 - 重新输入上一步中的电子邮件地址

3. 名字 - 输入 Nikki

4. 姓氏 - 输入 Wolf

5. 显示名称 – 输入 Nikki Wolf

选择两次下一步，然后选择添加用户。

选择关闭。

打开 IAM Identity Center 控制台。

在多账户权限下，选择 Amazon Web Services 账户。

在要授予 Nikki 管理区域权限的账户名称（例如沙盒）旁边，选择复选框，然后选择分配用户和组。

在分配用户和组页面，选择用户选项卡，找到并选中 Nikki 旁边的复选框，然后选择下一步。

在 IAM Identity Center 控制台中，选择设置。

在设置页面上，选择身份源选项卡，然后选择操作>更改身份源。

在选择身份源页面，选择外部身份提供商，然后选择下一步。

在配置外部身份提供商页面的服务提供商元数据下，选择下载元数据文件，以将其下载到您的系统中。

在同一部分，找到 Amazon Web Services 访问门户登录 URL 的值，并复制它。在下一步出现提示时，您需要输入该值。

将此页面保持为打开状态，然后进入下一步（Step 3.2），在 Microsoft Entra ID 中配置 Amazon IAM Identity Center 企业应用程序。稍后，您将返回此页面，完成整个过程。

在 Microsoft Entra 管理中心控制台，导航到身份 > 应用程序 > 企业应用程序，然后选择 Amazon IAM Identity Center。

在左侧，选择单点登录。

在使用 SAML 设置单点登录页面，选择上传元数据文件，选择文件夹图标，选择您在上一步中下载的服务提供商元数据文件，然后选择添加。

在基本 SAML 配置页面，验证标识符和回复 URL 的值现在是否都指向 Amazon 中以 https://<REGION>.signin.aws.amazon.com/platform/saml/ 开头的端点。

在登录 URL（可选）下，粘贴您在上一步（Step 3.1）复制的 Amazon Web Services 访问门户登录 URL 值，选择保存，然后点击 X 关闭窗口。

如果提示测试 Amazon IAM Identity Center 的单点登录，选择不，我稍后再测试。您将在稍后的步骤中进行此项验证。

在使用 SAML 设置单点登录页面的 SAML 证书部分，在联合身份验证元数据 XML 旁边，选择下载，将元数据文件保存到您的系统中。在下一步出现提示时，您需要上传此文件。

返回在 Step 3.1 中，您在 IAM Identity Center 控制台中保留为打开状态的浏览器会话。

在配置外部身份提供商页面的身份提供商元数据部分，选择 IdP SAML 元数据下的选择文件按钮，然后选择您在上一步从 Microsoft Entra ID 下载的身份提供商元数据文件，然后选择打开。

选择下一步。

在阅读免责声明并准备继续操作后，输入 ACCEPT。

选择更改身份源，以应用您的更改。

前往我的账户门户登录页面，输入 Nikki 的完整电子邮件地址。例如，NikkiWolf@example.org。

出现提示时，输入 Nikki 的密码，然后选择登录。

在我的账户页面的左侧导航栏中，选择我的应用程序。

在我的应用程序页面，选择名为 Amazon IAM Identity Center 的应用程序。这应该会提示您进行额外的身份验证。

在 Microsoft 的登录页面，选择您的 NikkiWolf 凭证。如果再次提示您进行身份验证，请再次选择您的 NikkiWolf 凭证。这应该会自动将您重定向到 Amazon Web Services 访问门户。

确认是否显示 Amazon 账户图标 。

在 Amazon Web Services 访问门户中，选择 Amazon 账户图标 ，以展开账户列表。选择该图标后，对于您在其中定义了权限集的任何账户，其账户名称、账户 ID 和与之关联的电子邮件地址都将显示出来。

选择对其应用了权限集的账户名称，例如沙盒（请参阅 Step 2.3）。这将展开权限集列表，Nikki 可以从中选择，以管理其账户。

在 RegionalAdmin 旁边，选择管理控制台，以担任您在 RegionalAdmin 权限集中定义的角色。这会将您重定向至 Amazon Web Services Management Console 主页。

在控制台的右上角，选择您的账户名称，然后选择账户。您将进入账户页面。请注意，此页面上的所有其他部分都会显示一条消息，说明您没有查看或修改这些设置的必要权限。

在账户页面，向下滚动至 Amazon 区域部分。选中表格中任何可用区域的复选框。注意 Nikki 确实拥有必要的权限，可按预期为其账户启用或禁用区域列表。

在 Microsoft Entra 管理中心控制台，导航到身份 > 用户 > 所有用户。

选择新用户，然后选择屏幕顶部的创建新用户。

在用户主体名称中，输入 RichRoe，然后选择您喜欢的域和扩展。例如，RichRoe@example.org。

在显示名称中，输入 RichRoe。

在密码中输入高强度密码，或选择眼睛图标，显示自动生成的密码，然后复制或写下显示的值。

选择属性，然后提供以下值：

选择审核并创建，然后选择创建。

打开 IAM Identity Center 控制台，在左侧导航窗格中选择设置。

在设置页面的身份源选项卡下，请注意预置方法已设置为手动。

找到自动预置信息框，然后选择启用。这会立即在 IAM Identity Center 中启用自动预置，并显示必要的 SCIM 端点和访问令牌信息。

在入站自动预置对话框中，复制以下选项的每个值。下一步在 Microsoft Entra ID 中配置预置时，您需要粘贴这些值。

1. SCIM 端点 - 例如，https://scim.us-east-2.amazonaws.com/11111111111-2222-3333-4444-555555555555/scim/v2/

2. 访问令牌 - 选择显示令牌以复制该值。

选择关闭。

在身份源选项卡下，请注意预置方法现在设置为 SCIM。

在 Microsoft Entra 管理中心控制台，导航到身份 > 应用程序 > 企业应用程序，然后选择 Amazon IAM Identity Center。

选择预置，在管理下，再次选择预置。

在预置模式下，选择自动。

在管理员凭证下的租户 URL 中，粘贴您之前在 Step 4.1 中复制的 SCIM 端点 URL 值。在密钥令牌中，粘贴访问令牌的值。

选择测试连接。您应该会看到一条消息，表明经过测试的凭证已成功得到授权，可以启用预置。

选择保存。

在管理下，选择用户和组，然后选择添加用户/组。

在添加分配页面，在用户下选择未选择任何对象。

选择 RichRoe，然后选择选择。

在添加分配页面，选择分配。

选择概述，然后选择开始预置。

在 IAM Identity Center 控制台中，选择用户。

在用户页面，您应该会看到显示了 RichRoe 用户。请注意，在创建者列，值将设置为 SCIM。

选择 RichRoe，在配置文件下，验证是否从 Microsoft Entra ID 复制了以下属性。

现在，Richard 的用户已在 IAM Identity Center 中创建，您可以将其分配给任何权限集，这样您就可以控制他对您 Amazon 资源的访问权限级别。例如，您可以将 RichRoe 分配给之前用于授予 Nikki 管理区域权限的 RegionalAdmin 权限集（请参阅 Step 2.3），然后使用 Step 3.5 测试他的访问权限级别。

在 Microsoft Entra 管理中心控制台，导航到身份 > 应用程序 > 企业应用程序，然后选择 Amazon IAM Identity Center。

选择 Single sign-on（单点登录）。

在属性和声明部分，选择编辑。

在属性和声明页面，执行以下操作：

1. 选择添加新声明

2. 对于名称，请输入 AccessControl:AttributeName。将 AttributeName 替换为您在 IAM Identity Center 中期望的属性名称。例如，AccessControl:Department。

3. 对于 Namespace (命名空间)，请输入 https://aws.amazon.com/SAML/Attributes。

4. 对于 Source (源)，请选择 Attribute (属性)。

5. 对于来源属性，使用下拉列表选择 Microsoft Entra ID 用户属性。例如，user.department。

对需要在 SAML 断言中发送到 IAM Identity Center 的每个属性重复上一步。

选择保存。