Konfigurera AWS IAM Identity Center (efterföljare till enkel inloggning med AWS) för automatisk användaretablering med Microsoft Entra ID

Den här artikeln beskriver de steg du behöver utföra i både AWS IAM Identity Center (efterföljare till enkel inloggning med AWS) och Microsoft Entra-ID för att konfigurera automatisk användaretablering. När Microsoft Entra ID konfigureras provisionerar och avprovisionerar den automatiskt användare och grupper i AWS IAM Identity Center med hjälp av Microsoft Entras provisioneringstjänst. Viktig information om vad den här tjänsten gör, hur den fungerar och vanliga frågor finns i Automatisera användaretablering och avetablering till SaaS-program med Microsoft Entra-ID.

Funktioner som stöds

Förutsättningar

Scenariot som beskrivs i den här artikeln förutsätter att du redan har följande förutsättningar:

• Ett Microsoft Entra-användarkonto med en aktiv prenumeration. Om du inte redan har ett kan du skapa ett konto kostnadsfritt.
• En av följande roller:
  • Programadministratör
  • Molnapplikationsadministratör
  • Programägare.

• En SAML-anslutning från ditt Microsoft Entra-konto till AWS IAM Identity Center enligt beskrivningen i handledningen

Steg 1: Planera din försörjningsdistribution

1. Lär dig mer om hur etableringstjänsten fungerar.
2. Fastställ vem som är inom omfånget för tillhandahållande.
3. Ta reda på vilka data som ska mappas mellan Microsoft Entra ID och AWS IAM Identity Center.

Steg 2: Konfigurera AWS IAM Identity Center för att stödja etablering med Microsoft Entra-ID

1. Öppna AWS IAM Identity Center.

2. Välj Inställningar i det vänstra navigeringsfönstret

3. I Inställningar väljer du Aktivera i avsnittet Automatisk etablering.

   

4. I dialogrutan Inkommande automatisk etablering kopierar och sparar du SCIM-slutpunkten och åtkomsttoken (visas när du har valt Visa token). Dessa värden anges i fältet Klient-URL och hemlig token på fliken Etablering i ditt AWS IAM Identity Center-program.

Steg 3: Lägg till AWS IAM Identity Center från Microsoft Entra-programgalleriet

Lägg till AWS IAM Identity Center från Microsoft Entra-programgalleriet för att börja hantera etablering till AWS IAM Identity Center. Om du tidigare har konfigurerat AWS IAM Identity Center för enkel inloggning kan du använda samma program. Läs mer om att lägga till ett program från galleriet här.

Steg 4: Definiera vilka som omfattas av provisioner

Med Microsoft Entra-etableringstjänsten kan du omfångsbegränsa vem som etableras baserat på tilldelning till programmet, eller baserat på attribut för användaren eller gruppen. Om du väljer att begränsa vem som tilldelas din app baserat på tilldelning kan du använda stegen för att tilldela användare och grupper till programmet. Om du väljer att behovställa vilka som etableras endast baserat på attribut hos användaren eller gruppen kan du använda ett omfångsfilter.

• Börja litet. Testa med en liten uppsättning användare och grupper innan du distribuerar till alla. När omfånget för etablering är inställt på tilldelade användare och grupper kan du styra detta genom att tilldela en eller två användare eller grupper till appen. När omfånget är inställt på alla användare och grupper kan du ange ett attributbaserat omfångsfilter.

• Om du behöver extra roller kan du uppdatera programmanifestet för att lägga till nya roller.

Steg 5: Konfigurera automatisk användaretablering till AWS IAM Identity Center

Det här avsnittet vägleder dig genom stegen för att konfigurera Microsoft Entra-etableringstjänsten för att skapa, uppdatera och inaktivera användare och/eller grupper i TestApp baserat på användar- och/eller grupptilldelningar i Microsoft Entra-ID.

Så här konfigurerar du automatisk användaretablering för AWS IAM Identity Center i Microsoft Entra ID:

1. Logga in på administrationscentret för Microsoft Entra som minst molnprogramadministratör.

2. Bläddra till Entra ID>Enterprise-appar

   

3. I programlistan väljer du AWS IAM Identity Center.

   

4. Välj fliken Provisionering .

   

5. Ställ in etableringsläget på Automatisk.

   

6. Under avsnittet Autentiseringsuppgifter för administratör anger du din AWS IAM Identity Center-klientorganisations-URL och hemliga token som hämtades tidigare i steg 2. Välj Testa anslutning för att se till att Microsoft Entra ID kan ansluta till AWS IAM Identity Center.

   

7. I fältet E-postavisering anger du e-postadressen till en person eller grupp som ska få meddelanden om etableringsfel och markerar kryssrutan Skicka ett e-postmeddelande när ett fel inträffar .

   

8. Välj Spara.

9. Under avsnittet Mappningar väljer du Synkronisera Microsoft Entra-användare till AWS IAM Identity Center.

10. Granska de användarattribut som synkroniseras från Microsoft Entra-ID till AWS IAM Identity Center i avsnittet Attributmappning . De attribut som valts som Matchande egenskaper används för att matcha användarkontona i AWS IAM Identity Center för uppdateringsåtgärder. Om du väljer att ändra det matchande målattributet måste du se till att API:et för AWS IAM Identity Center stöder filtrering av användare baserat på det attributet. Välj knappen Spara för att checka in eventuella ändringar.

    Egenskap	Typ	Stöds för filtrering
    användarnamn	Sträng	✓
    aktiv	Boolesk
    visningsnamn	Sträng
    titel	Sträng
    e-postmeddelanden[typ = "arbete"].värde	Sträng
    föredraget språk	Sträng
    namn.tilltalsnamn	Sträng
    namn.efternamn	Sträng
    formaterat namn	Sträng
    adresser[typ = "arbete"].formaterad	Sträng
    adresser[typ == "arbete"].gatuadress	Sträng
    adresser[typ eq "arbete"].lokalitet	Sträng
    adresser[typ == "arbete"].region	Sträng
    adresser[typ eq "arbete"].postnummer	Sträng
    adresser[typ eq "arbete"].land	Sträng
    telefonnummer[typ är lika med "arbete"].värde	Sträng
    externId	Sträng
    Lokalisering	Sträng
    tidszon	Sträng
    urn:ietf:params:scim:schemas:extension:enterprise:2.0:User:employeeNumber (medarbetarens nummer)	Sträng
    urn:ietf:params:scim:schemas:extension:enterprise:2.0:User:avdelning	Sträng
    urn:ietf:params:scim:schemas:extension:enterprise:2.0:Användare:division	Sträng
    urn:ietf:params:scim:schemas:extension:enterprise:2.0:User:kostnadsställe	Sträng
    urn:ietf:params:scim:schemas:extension:enterprise:2.0:User:organisation	Sträng
    urn:ietf:params:scim:schemas:extension:enterprise:2.0:Användare:chefen	Hänvisning

11. Under avsnittet Mappningar väljer du Synkronisera Microsoft Entra-grupper till AWS IAM Identity Center.

12. Granska de gruppattribut som synkroniseras från Microsoft Entra-ID till AWS IAM Identity Center i avsnittet Attributmappning . De attribut som valts som Matchande egenskaper används för att matcha grupperna i AWS IAM Identity Center för uppdateringsåtgärder. Välj knappen Spara för att checka in eventuella ändringar.

    Egenskap	Typ	Stöds för filtrering
    visningsnamn	Sträng	✓
    externId	Sträng
    medlemmar	Hänvisning

13. Information om hur du konfigurerar omfångsfilter finns i följande instruktioner i artikeln Omfångsfilter.

14. Om du vill aktivera Microsoft Entra-etableringstjänsten för AWS IAM Identity Center ändrar du Etableringsstatus till På i avsnittet Inställningar .

    

15. Definiera de användare och/eller grupper som du vill etablera till AWS IAM Identity Center genom att välja önskade värden i Omfång i avsnittet Inställningar .

    

16. När du är redo att förbereda väljer du Spara.

    

Den här åtgärden startar den inledande synkroniseringscykeln för alla användare och grupper som definierats i omfånget i avsnittet Inställningar . Den inledande cykeln tar längre tid att utföra än efterföljande cykler, som inträffar ungefär var 40:e minut så länge Microsoft Entra-etableringstjänsten körs.

Steg 6: Övervaka distributionen

När du har konfigurerat etableringen använder du följande resurser för att övervaka distributionen:

1. Använd etableringsloggarna för att avgöra vilka användare som har försörjts framgångsrikt eller misslyckats
2. Kontrollera förloppsindikatorn för att se status för etableringscykeln och hur nära den är att bli klar.
3. Om etableringskonfigurationen verkar vara i ett feltillstånd hamnar programmet i karantän. Lär dig mer om karantänstater i artikeln om programförsörjningskarantänstatus.

Just-in-time (JIT) applikationsåtkomst med PIM för grupper

Med PIM för grupper kan du ge just-in-time-åtkomst till grupper i Amazon Web Services och minska antalet användare som har permanent åtkomst till privilegierade grupper i AWS.

Konfigurera din företagsapplikation för enkel inloggning och tilldelning

1. Lägg till AWS IAM Identity Center i klientorganisationen, konfigurera det för provisionering enligt beskrivningen i artikeln ovan och börja med provisioneringen.
2. Konfigurera enkel inloggning för AWS IAM Identity Center.
3. Skapa en grupp som ger alla användare åtkomst till programmet.
4. Tilldela gruppen till AWS Identity Center-programmet.
5. Tilldela testanvändaren som direkt medlem i gruppen som skapades i föregående steg eller ge dem åtkomst till gruppen via ett åtkomstpaket. Den här gruppen kan användas för beständig, icke-administratörsåtkomst i AWS.

Aktivera PIM för grupper

1. Skapa en andra grupp i Microsoft Entra-ID. Den här gruppen ger åtkomst till administratörsbehörigheter i AWS.
2. Sätt gruppen under hantering i Microsoft Entra PIM.
3. Tilldela testanvändaren som berättigad till gruppen i PIM med rollen inställd på medlem.
4. Tilldela den andra gruppen till AWS IAM Identity Center-programmet.
5. Använd provisionering på begäran för att skapa gruppen i AWS IAM Identity Center.
6. Logga in på AWS IAM Identity Center och tilldela den andra gruppen de behörigheter som krävs för att utföra administratörsuppgifter.

Nu kan alla slutanvändare som har blivit berättigade till gruppen i PIM få JIT-åtkomst till gruppen i AWS genom att aktivera sitt gruppmedlemskap.

Viktiga överväganden

• Hur lång tid tar det att etablera en användare i programmet?:
  • När en användare läggs till i en grupp i Microsoft Entra-ID utanför aktiveringen av sitt gruppmedlemskap med hjälp av Microsoft Entra ID Privileged Identity Management (PIM):
    • Gruppmedlemskapet etableras i programmet under nästa synkroniseringscykel. Synkroniseringscykeln körs var 40:e minut.
  • När en användare aktiverar sitt gruppmedlemskap i Microsoft Entra ID PIM:
    • Gruppmedlemskapet etableras om 2–10 minuter. När det finns en hög frekvens av begäranden samtidigt begränsas begäranden med en hastighet av fem begäranden per 10 sekunder.
    • För de första fem användarna inom en 10-sekundersperiod som aktiverar sitt gruppmedlemskap för ett visst program etableras gruppmedlemskap i programmet inom 2–10 minuter.
    • För den sjätte användaren och senare inom en 10-sekundersperiod som aktiverar deras gruppmedlemskap för ett visst program etableras gruppmedlemskap till programmet i nästa synkroniseringscykel. Synkroniseringscykeln körs var 40:e minut. Begränsningsgränserna är per företagsprogram.
• Om användaren inte kan komma åt den nödvändiga gruppen i AWS kan du läsa felsökningstipsen nedan, PIM-loggar och etableringsloggar för att säkerställa att gruppmedlemskapet har uppdaterats. Beroende på hur målprogrammet har skapats kan det ta ytterligare tid innan gruppmedlemskapet börjar gälla i programmet.
• Du kan skapa aviseringar för fel med hjälp av Azure Monitor.
• Inaktivering sker under den vanliga inkrementella cykeln. Den bearbetas inte omedelbart genom tillhandahållande på begäran.

Felsökningstips

Attribut som saknas

När du etablerar en användare till AWS måste de ha följande attribut

• förnamn
• efternamn
• visningsnamn
• användarnamn

Användare som inte har dessa attribut får följande felmeddelande.

Flervärdesattribut

AWS stöder inte följande attribut med flera värden:

• Mejladress
• Telefonnummer

När du försöker flöda ovanstående som flervärdesattribut resulterar det i följande felmeddelande

Det finns två sätt att lösa detta

1. Se till att användaren bara har ett värde för phoneNumber/email
2. Ta bort dubblettattributen. Att till exempel ha två olika attribut som mappas från Microsoft Entra-ID som båda mappas till "phoneNumber___" på AWS-sidan skulle resultera i felet om båda attributen har värden i Microsoft Entra-ID. Endast ett attribut som mappas till attributet "phoneNumber____" skulle lösa felet.

Ogiltiga tecken

För närvarande tillåter inte AWS IAM Identity Center några andra tecken som Microsoft Entra ID stöder som tab (\t), ny rad (\n), returvagn (\r) och tecken som " <|>|;|:% ".

Du kan också kontrollera felsökningstipsen för AWS IAM Identity Center här om du vill ha fler felsökningstips

Ytterligare resurser

• Hantera etablering av användarkonton för Enterprise Apps
• Vad är programåtkomst och IAM Identity Center med Microsoft Entra-ID?

Relaterat innehåll

• Lär dig hur du granskar loggar och får rapporter om provisioning-aktivitet