Öğretici: AZURE ACTIVE DIRECTORY Access ile çoklu oturum açma (SSO) tümleştirmesi Single-Account.

Makale
11/12/2021
Okumak için 11 dakika

Bu öğreticide AWS Single-Account Access'i Azure Active Directory (Azure AD) ile tümleştirin. AWS Single-Account Access'i Azure AD ile tümleştirin:

Azure AD'de AWS ve Access erişimi olan Single-Account.
Kullanıcılarınızı Azure AD hesaplarıyla otomatik olarak AWS Single-Account Access'te oturum açın.
Hesaplarınızı tek bir merkezi konumda yönetme : Azure portal.

Azure AD uygulama galerisinde farklı AWS uygulamalarını anlama

Azure AD uygulama galerisinde AWS Single Sign-On ve AWS Single-Account Access uygulamaları arasında bir karar almak için aşağıdaki bilgileri kullanın.

AWS Çoklu Oturum Açma

AWS Çoklu Oturum Açma, Şubat 2021'de Azure AD uygulama galerisine eklendi. Birden çok AWS hesabına ve AWS uygulamasına erişimi tek bir merkezi olarak yönetmeyi kolaylaştırır ve bu sayede birden fazla AWS hesabı Microsoft Azure AD. AWS SSO Microsoft Azure AD bir kez federasyona ek olarak AWS SSO'dan tüm AWS hesaplarınızı tek bir yerde yönetme izinlerini yönetin. AWS SSO izinleri otomatik olarak sağlar ve siz ilkeleri ve erişim atamalarını güncelleştiren bu izinleri güncel tutar. Son kullanıcılar, AWS Konsolu, Komut Satırı Arabirimi ve AWS SSO tümleşik uygulamalarına erişmek için Azure AD kimlik bilgileriyle kimliklerini doğrular.

AWS Single-Account Access

AWS Single-Account Access, son birkaç yıldır müşteriler tarafından kullanılmıştır ve Azure AD'yi tek bir AWS hesabıyla federasyona atıp Azure AD'yi kullanarak AWS IAM rollerine erişimi yönetmenizi sağlar. AWS IAM yöneticileri her AWS hesabında roller ve ilkeler tanımlar. Her AWS hesabı için Azure AD yöneticileri AWS IAM'ye federasyon sağlar, hesaba kullanıcı veya grup atar ve Azure AD'yi rol erişimi yetkisi verecek onaylar gönderecek şekilde yapılandırr.

Özellik	AWS Single Sign-On	AWS Single-Account Access
Koşullu erişim	Tüm AWS hesapları için tek bir koşullu erişim ilkesi destekler.	Tüm hesaplar için tek bir koşullu erişim ilkesi veya hesap başına özel ilkeler destekler
CLI erişimi	Desteklenir	Desteklenir
Privileged Identity Management	Henüz desteklenmiyor	Henüz desteklenmiyor
Hesap yönetimini merkezileştirme	AWS'de hesap yönetimini merkezileştirin.	Azure AD'de hesap yönetimini merkezileştirin (büyük olasılıkla hesap başına bir Azure AD kurumsal uygulaması gerekir).
SAML sertifikası	Tek sertifika	Uygulama/hesap başına ayrı sertifikalar

AWS Single-Account Access mimarisi

Azure AD ve AWS ilişkisinin diyagramı

Birden çok örnek için birden çok tanımlayıcı yapılandırarak. Örneğin:

https://signin.aws.amazon.com/saml#1
https://signin.aws.amazon.com/saml#2

Bu değerlerle, Azure AD değerini kaldırır ve SAML belirtecsinde hedef kitle # https://signin.aws.amazon.com/saml URL'si olarak doğru değeri gönderir.

Bu yaklaşımı aşağıdaki nedenlerden dolayı öneririz:

Her uygulama size benzersiz bir X509 sertifikası sağlar. Bir AWS uygulama örneğinin her örneği farklı bir sertifika sona erme tarihine sahip olabilir ve bu tarih tek bir AWS hesabı temelinde yönetilebilir. Bu durumda genel sertifikayı devretme daha kolaydır.
Azure AD'de bir AWS uygulamasıyla kullanıcı hazırlamayı etkinleştirebilirsiniz ve ardından hizmetimiz bu AWS hesabından tüm rolleri getirir. Uygulamanın AWS rollerini el ile eklemeniz veya güncelleştirmeniz gerekmez.
Uygulama sahibini uygulama için ayrı ayrı atabilirsiniz. Bu kişi uygulamayı doğrudan Azure AD'de yönetebilir.

Not

Yalnızca bir galeri uygulaması kullanmaya emin olun.

Önkoşullar

Çalışmaya başlama için aşağıdaki öğelere ihtiyacınız vardır:

Azure AD aboneliği. Aboneliğiniz yoksa ücretsiz bir hesap edinebilirsiniz.
AWS çoklu oturum açma (SSO) özellikli bir abonelik.

Not

Rol içeri aktarmaları yapılırken Azure AD'de roller el ile düzenlenemez.

Senaryo açıklaması

Bu öğreticide, Azure AD SSO'larını bir test ortamında yapılandıracak ve test edersiniz.

AWS Single-Account Access, SP ve IDP tarafından başlatılan SSO'ları destekler.

Not

Bu uygulamanın tanımlayıcısı sabit bir dize değeridir, bu nedenle bir kiracıda yalnızca bir örnek yalıtabilirsiniz.

Galeriden AWS Single-Account Access ekleme

AWS Single-Account Access'in Azure AD ile tümleşmeyi yapılandırmak için, galeriden AWS Single-Account Access'i yönetilen SaaS uygulamaları listenize eklemeniz gerekir.

İş hesabı, Azure portal hesabı veya kişisel hesap kullanarak oturum Microsoft hesabı.
Aşağıdaki Azure portal için arama Azure Active Directory.
Genel bakış Azure Active Directory menüsünde Uygulamalar Tüm Enterprise'ı > seçin.
Uygulama eklemek için Yeni uygulama'ya tıklayın.
Galeriden ekle bölümünde, arama kutusuna AWS Single-Account Access yazın.
AWS Single-Account Access from results panelini seçin ve uygulamayı ekleyin. Uygulama kiracınıza eklenirken birkaç saniye bekleyin.

AWS Single-Account Access için Azure AD SSO'Single-Account test edin

B.Simon adlı bir test kullanıcısı kullanarak AWS Single-Account Access ile Azure AD SSO'larını yapılandırma ve test edin. SSO'nun çalışması için Azure AD kullanıcısı ile AWS'deki ilgili kullanıcı arasında bir bağlantı ilişkisi Single-Account gerekir.

Aws Single-Account Access ile Azure AD SSO'Single-Account yapılandırmak ve test etmek için aşağıdaki adımları gerçekleştirin:

Kullanıcılarının bu özelliği kullanmalarını sağlamak için Azure AD SSO'larını yapılandırma.
1. B.Simon ile Azure AD çoklu oturum açma test etmek için bir Azure AD test kullanıcısı oluşturun.
2. B.Simon'un Azure AD çoklu oturum açmasını kullanmasına olanak sağlamak için Azure AD test kullanıcısını attayın.
Uygulama Single-Account çoklu oturum açma ayarlarını yapılandırmak için AWS Single-Account Access SSO'ya tıklayın.
1. AWS Single-Account Access test kullanıcısı oluşturun. Bunun için AWS Single-Account Access'te B.Simon'un kullanıcı Azure AD gösterimiyle bağlantılı bir karşıtlık oluşturun.
2. AWS Single-Account Access'te rol sağlamayı yapılandırma
Yapılandırmanın çalıştığını doğrulamak için SSO'nun testini kullanın.

Azure AD SSO’yu yapılandırma

Azure AD SSO'nun azure ad SSO'Azure portal.

Aşağıdaki Azure portal, AWS Single-Account Access uygulama tümleştirme sayfasında Yönet bölümünü bulun ve çoklu oturum açma seçeneğini seçin.
Çoklu oturum açma yöntemi seçin sayfasında SAML'yi seçin.
SAML ile çoklu oturum açma ayarla sayfasında, ayarları düzenlemek için Temel SAML Yapılandırması için düzenleme/kalem simgesine tıklayın.
Temel SAML Yapılandırması bölümünde hem Tanımlayıcı (Varlık Kimliği) hem de Yanıt URL'sini aynı varsayılan değerle güncelleştirin: https://signin.aws.amazon.com/saml . Yapılandırma değişikliklerini kaydetmek için Kaydet'i seçmeniz gerekir.
Birden fazla örnek yapılandırıyorken bir tanımlayıcı değeri sağlar. İkinci örnekten itibaren, benzersiz bir SPN değeri belirtmek için bir # işareti de dahil olmak üzere aşağıdaki biçimi kullanın.

https://signin.aws.amazon.com/saml#2
AWS uygulaması SAML onaylamalarını belirli bir biçimde bekler ve bu da SAML belirteci öznitelik yapılandırmanıza özel öznitelik eşlemeleri eklemenizi gerektirir. Aşağıdaki ekran görüntüsünde varsayılan özniteliklerin listesi yer almaktadır.

Yukarıdakilere ek olarak AWS uygulaması, aşağıda gösterilen SAML yanıtını yeniden geçiren birkaç öznitelik daha bekler. Bu öznitelikler de önceden doldurulmuştur ancak gereksinimlerinize göre bunları gözden geçirebilirsiniz.

Name	Kaynak özniteliği	Ad Alanı
RoleSessionName	user.userprincipalname	`https://aws.amazon.com/SAML/Attributes`
Rol	user.assignedroles	`https://aws.amazon.com/SAML/Attributes`
SessionDuration	"900 saniye (15 dakika) ile 43200 saniye (12 saat) arasında bir değer sağlar"	`https://aws.amazon.com/SAML/Attributes`

Not

AWS, uygulamaya atanan kullanıcılar için roller bekler. Kullanıcılara uygun rollerin atanmalarını için lütfen bu rolleri Azure AD'de ayarlayın. Azure AD'de rollerin nasıl yapılandırıldığından emin olmak için buraya bakın

SAML ile çoklu oturum açma ayarla sayfasında, SAML İmzalama Sertifikası (3. Adım) iletişim kutusunda Sertifika ekle'yi seçin.
Yeni bir SAML imzalama sertifikası oluşturma ve ardından Yeni Sertifika'yi seçin. Sertifika bildirimleri için bir e-posta adresi girin.
SAML İmzalama Sertifikası bölümünde Federasyon Meta Verileri XML'ini bulun ve İndir'i seçerek sertifikayı indirin ve bilgisayarınıza kaydedin.
AWS Single-Account Access'i ayarlama bölümünde, gereksiniminize göre uygun URL'leri kopyalayın.

Azure AD test kullanıcısı oluşturma

Bu bölümde, B.Simon adlı Azure portal bir test kullanıcısı oluşturabilirsiniz.

Aşağıdaki Azure portal için arama ve seçim Azure Active Directory.
Genel bakış Azure Active Directory menüsünde Kullanıcılar Tüm > kullanıcılar'ı seçin.
Ekranın üst kısmında Yeni kullanıcı'ya tıklayın.
Kullanıcı özelliklerinde şu adımları izleyin:
1. Ad alanına B.Simon girin.
2. Kullanıcı adı alanına username@companydomain.extension girin. Örneğin, B.Simon@contoso.com.
3. Parolayı göster onay kutusunu seçin ve ardından Parola kutusunda görüntülenen değeri not edin.
4. Oluştur’a tıklayın.

Azure AD test kullanıcısına atama

Bu bölümde B.Simon'un AWS Single-Account Access'e erişim iznini kullanarak Azure çoklu oturum açma Single-Account etkinleştirebilirsiniz.

Uygulama Azure portal Uygulamalar'Enterprise ve ardından Tüm uygulamalar'ı seçin.
Uygulamalar listesinde AWS'yi ve Access'Single-Account seçin.
Uygulamanın genel bakış sayfasında Yönet bölümünü bulun ve Kullanıcılar ve gruplar'ı seçin.
Kullanıcı ekle'yi ve ardından Atama Ekle iletişim kutusunda Kullanıcılar ve gruplar'ı seçin.
Kullanıcılar ve gruplar iletişim kutusunda, Kullanıcılar listesinden B.Simon'u seçin ve ekranın alt kısmından Seç düğmesine tıklayın.
Kullanıcılara atanacak bir rol bekliyorsanız Rol seçin açılan listesinden bu rolü seçin. Bu uygulama için herhangi bir rol ayarlanmasa "Varsayılan Erişim" rolünün seçili olduğunu görüyorsunuz.
Atama Ekle iletişim kutusunda Ata düğmesine tıklayın.

AWS Single-Account Access SSO'larını yapılandırma

Farklı bir tarayıcı penceresinde AWS şirket sitenize yönetici olarak oturum açın.
AWS Giriş'i seçin.
Kimlik ve Erişim Yönetimi'ne seçin.
Kimlik Sağlayıcıları Sağlayıcı > Oluştur'a seçin.
Sağlayıcıyı Yapılandır sayfasında aşağıdaki adımları gerçekleştirin:

a. Sağlayıcı Türü için SAML'yi seçin.

b. Sağlayıcı Adı için bir sağlayıcı adı yazın (örneğin: WAAD).

c. dosyadan indirilen meta veri dosyanızı karşıya yüklemek Azure portal Dosya Seç'i seçin.

d. Sonraki Adım'ı seçin.
Sağlayıcı Bilgilerini Doğrula sayfasında Oluştur'a tıklayın.
Roller Rol > oluştur'a seçin.
Rol oluştur sayfasında aşağıdaki adımları gerçekleştirin:

a. Güvenilen varlık türünü seçin altında SAML 2.0 federasyon'u seçin.

b. Bir SAML 2.0 Sağlayıcısı Seçin altında, daha önce oluşturduğunuz SAML sağlayıcısını seçin (örneğin: WAAD).

c. Program aracılığıyla ve AWS Yönetim Konsolu erişimine izin ver'i seçin.

d. Şunu seçin: İleri: İzinler.
İzin ilkeleri ekle iletişim kutusunda, kuruluşa göre uygun ilkeyi ekleyin. Ardından Sonraki: Gözden Geçir'i seçin.
Gözden Geçir iletişim kutusunda aşağıdaki adımları gerçekleştirin:

a. Rol adı alanına rol adını girin.

b. Rol açıklaması alanına açıklamayı girin.

c. Rol oluştur'a seçin.

d. Gereken sayıda rol oluşturun ve bunları kimlik sağlayıcısına eşler.
Rolleri Azure AD kullanıcı hazırlamada AWS hesabından getirmek için AWS hizmet hesabı kimlik bilgilerini kullanın. Bunun için AWS konsol giriş konsolunu açın.
Hizmetler'i seçin. Güvenlik, Kimlik ve Uyumluluk & altında IAM'yi seçin.
IAM bölümünde İlkeler'i seçin.
Azure AD kullanıcı sağlamada AWS hesabından rolleri getirmek için İlke oluştur'ı seçerek yeni bir ilke oluşturun.
AWS hesaplarından tüm rolleri getirmek için kendi ilkenizi oluşturun.

a. İlke oluştur'da JSON sekmesini seçin.

b. İlke belgesine aşağıdaki JSON'u ekleyin:
```
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
            "iam:ListRoles"
            ],
            "Resource": "*"
        }
    ]
}
```
c. İlkeyi doğrulamak için Ilkeyi gözden geçir ' i seçin.
Yeni ilkeyi tanımlayın.

a. Ad için AzureAD_SSOUserRole_Policy girin.

b. Açıklama için Bu ilkenin, AWS hesaplarından rolleri getirmeye izin verilecek şekilde girin.

c. İlke oluştur'u seçin.
AWS ıAM hizmetinde yeni bir kullanıcı hesabı oluşturun.

a. AWS ıAM konsolunda Kullanıcılar' ı seçin.

b. Yeni bir kullanıcı oluşturmak için Kullanıcı Ekle' yi seçin.

c. Kullanıcı Ekle bölümünde:
- Kullanıcı adını Azureadrolemanager olarak girin.
- Erişim türü için programlı erişim' i seçin. Bu şekilde, Kullanıcı API 'Leri çağırabilir ve AWS hesabından rolleri alabilir.
- Sonraki izinleri seçin.
Bu Kullanıcı için yeni bir ilke oluşturun.

a. Mevcut ilkeleri doğrudan Ekle' yi seçin.

b. Yeni oluşturulan ilkeyi filtre bölümünde AzureAD_SSOUserRole_Policy arama yapın.

c. İlkeyi seçin ve ardından İleri: gözden geçir' i seçin.
Ekli Kullanıcı için ilkeyi gözden geçirin.

a. Kullanıcı adını, erişim türünü ve kullanıcıyla eşlenen ilkeyi gözden geçirin.

b. Kullanıcı oluştur' u seçin.
Kullanıcının Kullanıcı kimlik bilgilerini indirin.

a. Kullanıcı erişim anahtarı kimliğini ve gizli dizi erişim anahtarını kopyalayın.

b. AWS konsolundan rolleri getirmek için bu kimlik bilgilerini Azure AD Kullanıcı sağlama bölümüne girin.

c. Kapat’ı seçin.

AWS Single-Account erişiminde rol sağlamayı yapılandırma

Azure AD yönetim portalında AWS uygulamasında sağlama' ya gidin.
Erişim anahtarını ve gizli anahtarı, sırasıyla ClientSecret ve gizli belirteç alanlarına girin.

a. ClientSecret alanına AWS Kullanıcı erişimi anahtarını girin.

b. Gizli belirteç alanına AWS Kullanıcı gizli anahtarını girin.

c. Bağlantıyı Sına'yı seçin.

d. Kaydet' i seçerek ayarı kaydedin.
Ayarlar bölümünde, sağlama durumu için açık' ı seçin. Sonra Kaydet'i seçin.

Not

Sağlama hizmeti rolleri yalnızca AWS 'den Azure AD 'ye aktarır. Hizmet, Azure AD 'den AWS 'ye Kullanıcı ve grup sağlamaz.

Not

Sağlama kimlik bilgilerini kaydettikten sonra, ilk eşitleme döngüsünün çalışmasını beklemeniz gerekir. Eşitleme genellikle yaklaşık 40 dakika sürer. Durumu sağlama sayfasının en altında, geçerli durum altında görebilirsiniz.

AWS Single-Account erişim testi kullanıcısı oluşturma

Bu bölümün amacı AWS Single-Account Access 'te B. Simon adlı bir Kullanıcı oluşturmaktır. AWS Single-Account erişimi, SSO için sisteminde bir kullanıcının oluşturulmasına gerek kalmaz, bu nedenle burada herhangi bir işlem gerçekleştirmeniz gerekmez.

Test SSO 'SU

Bu bölümde, Azure AD çoklu oturum açma yapılandırmanızı aşağıdaki seçeneklerle test edersiniz.

SP başlatıldı:

Azure portal içinde Bu uygulamayı test et ' e tıklayın. Bu, oturum akışını başlatabileceğiniz AWS Single-Account erişim oturum açma URL 'sine yönlendirir.
AWS 'ye gidin Single-Account oturum açma URL 'sine doğrudan erişin ve oturum akışını buradan başlatın.

IDP başlatıldı:

Azure portal Bu uygulamayı test et ' e tıklayın ve SSO 'yu ayarladığınız aws Single-Account erişiminde otomatik olarak oturum açmış olmanız gerekir

Uygulamayı dilediğiniz modda test etmek için Microsoft My Apps ' i de kullanabilirsiniz. Uygulamamda AWS Single-Account erişim kutucuğuna tıkladığınızda, SP modunda yapılandırıldıysa, oturum açma akışını başlatmak için uygulama oturum açma sayfasına yönlendirilirsiniz ve ıDP modunda yapılandırıldıysa, SSO 'yu ayarladığınız AWS Single-Account erişiminde otomatik olarak oturum açmış olmanız gerekir. Uygulamalarım hakkında daha fazla bilgi için bkz. uygulamalarıma giriş.

Bilinen sorunlar

AWS Single-Account erişim sağlama tümleştirmesi, yalnızca AWS genel bulut uç noktalarına bağlanmak için kullanılabilir. AWS Single-Account erişim sağlama tümleştirmesi AWS kamu ortamlarına erişmek için kullanılamaz.
Sağlama bölümünde, eşlemeler alt bölümünde "yükleniyor..." görüntülenir ileti eşleştirmez ve hiçbir şekilde öznitelik eşlemelerini görüntülemez. Bugün desteklenen tek sağlama iş akışı, bir kullanıcı veya grup ataması sırasında AWS 'den Azure AD 'ye roller için içeri aktarmaktır. Bunun için öznitelik eşlemeleri önceden belirlenir ve yapılandırılamaz.
Sağlama bölümü yalnızca bir AWS kiracısı için tek seferde bir kimlik bilgileri kümesi girmeyi destekler. İçeri aktarılan tüm roller appRoles AWS kiracısı Için Azure AD servicePrincipal nesnesinin özelliğine yazılır.

Azure AD 'ye, sağlama için Galeriden birden çok AWS kiracısı (tarafından temsil edilir servicePrincipals ) eklenebilir. Bununla birlikte, tüm içeri aktarılan rollerin, servicePrincipals SSO için kullanılmak üzere tek başına sağlanması için kullanılan birden fazla AWS 'den otomatik olarak yazamayacak bilinen bir sorun vardır servicePrincipal .

geçici bir çözüm olarak, sağlama yapılandırılmış her bir aws ' de içeri aktarılan her bir ı ayıklamak için Microsoft Graph apı 'sini kullanabilirsiniz appRoles servicePrincipal . Daha sonra, bu rol dizelerini SSO 'nun yapılandırıldığı AWS 'ye ekleyebilirsiniz servicePrincipal .
Rollerin AWS 'den Azure AD 'ye aktarılmak için aşağıdaki gereksinimleri karşılaması gerekir:
- Roller tam olarak bir SAML sağlayıcısına sahip olmalıdır ve AWS 'de tanımlı
- Rol için ARN (Amazon kaynak adı) ve ilişkili SAML-Provider için ARN 'ın Birleşik uzunluğu 240 karakterden az olmalıdır.

Değişiklik günlüğü

01/12/2020-119 karakterden daha fazla 239 karakter uzunluğundaki rol uzunluğu sınırı.

Sonraki adımlar

AWS Single-Account erişimini yapılandırdıktan sonra, kuruluşunuzun hassas verilerinin gerçek zamanlı olarak ayıklanmasını ve zaman korumasını koruyan oturum denetimini zorunlu kılabilirsiniz. Oturum Denetimi, Koşullu Erişim'den genişletildi. Cloud Apps için Microsoft Defender ile oturum denetimi uygulama hakkında bilgi edinin.