Comment configurer SAML 2.0 pour la fédération de compte AWS

SAML est une norme pour la journalisation des utilisateurs en permettant aux fournisseurs d'identité de transmettre les informations de connexion aux fournisseurs de services. Cette norme d'authentification unique (SSO) présente plusieurs avantages par rapport à la connexion à l'aide de noms d'utilisateur et de mots de passe, comme vous n'avez pas besoin de saisir les informations d'identification, et personne n'a à se souvenir des mots de passe et à les renouveler. La plupart des organisations connaissent désormais les identités des utilisateurs lorsqu'elles se connectent à leur Active Directory. L'utilisation de ces données pour connecter les utilisateurs à d'autres programmes, tels que des applications Web, est logique, et l'un des moyens les plus sophistiqués de le faire est d'utiliser SAML. L'identification du client est déplacée d'un endroit (fournisseur d'identité) à un autre (fournisseur de services) à l'aide de SAML SSO. Ceci est réalisé par l'échange de documents XML qui sont signés numériquement.

Les utilisateurs finaux peuvent utiliser SAML SSO pour s'authentifier auprès d'un ou plusieurs comptes AWS et accéder à des postes particuliers grâce à l'intégration d'Okta avec AWS. Les administrateurs d'Okta peuvent télécharger des rôles dans Okta à partir d'un ou plusieurs AWS et les attribuer aux utilisateurs. De plus, les administrateurs d'Okta peuvent également définir la durée de la session utilisateur authentifiée à l'aide d'Okta. Des écrans AWS contenant une liste des rôles d'utilisateur AWS sont fournis aux utilisateurs finaux. Ils peuvent choisir un rôle de connexion à assumer, qui déterminera leurs autorisations pour la durée de cette session authentifiée.

Pour ajouter un seul compte AWS à Okta, suivez ces instructions ci-dessous :

Configuration d'Okta en tant que fournisseur d'identité :

Tout d'abord, vous devez configurer Okta en tant que fournisseur d'identité et établir une connexion SAML. Connectez-vous à votre console AWS et sélectionnez l'option « Gestion des identités et des accès » dans le menu déroulant. Dans la barre de menu, ouvrez « Fournisseurs d'identité » et créez une nouvelle instance pour les fournisseurs d'identité en cliquant sur « Ajouter un fournisseur.” Un nouvel écran apparaîtra, connu sous le nom d'écran Configurer le fournisseur.

Ici, sélectionnez « SAML » comme « Type de fournisseur », entrez « Okta » comme « Nom du fournisseur » et téléchargez le document de métadonnées contenant la ligne suivante :

Une fois que vous avez terminé de configurer le fournisseur d'identité, accédez à la liste des fournisseurs d'identité et copiez la valeur « ARN du fournisseur » pour le fournisseur d'identité que vous venez de développer.

Ajout du fournisseur d'identité en tant que source de confiance :

Après avoir configuré Okta en tant que fournisseur d'identité qu'Okta peut récupérer et attribuer aux utilisateurs, vous pouvez créer ou mettre à jour les positions IAM existantes. Okta SSO ne peut offrir à vos utilisateurs que des rôles configurés pour accorder l'accès au fournisseur d'identité Okta SAML précédemment installé.

Pour donner accès aux rôles déjà présents dans le compte, choisissez d'abord le rôle que vous souhaitez qu'Okta SSO utilise dans l'option "Rôles" de la barre de menu. Modifiez la « Relation de confiance » pour ce rôle à partir de l'onglet de relation de texte. Pour autoriser l'authentification unique dans Okta à utiliser le fournisseur d'identité SAML que vous avez configuré précédemment, vous devez modifier la stratégie de relation d'approbation IAM. Si votre stratégie est vide, écrivez le code suivant et écrasez avec la valeur que vous avez copiée lors de la configuration d'Okta :

Sinon, il suffit de modifier le document déjà écrit. Si vous souhaitez donner accès à un nouveau rôle, accédez à Créer un rôle dans l'onglet Rôles. Pour le type d'entité de confiance, utilisez SAML 2.0 fédération. Passez à l'autorisation après avoir sélectionné le nom de l'IDP en tant que fournisseur SAML, je.e., Okta, et permettant l'accès à la gestion et au contrôle programmatique. Sélectionnez la stratégie à attribuer à ce nouveau rôle et terminez la configuration.

Génération de la clé d'accès API pour Okta pour le téléchargement des rôles :

Pour qu'Okta importe automatiquement une liste de rôles possibles à partir de votre compte, créez un utilisateur AWS avec des autorisations uniques. Cela permet aux administrateurs de déléguer rapidement et en toute sécurité des utilisateurs et des groupes à des rôles AWS particuliers. Pour ce faire, sélectionnez d'abord IAM depuis la console. Dans cette liste, cliquez sur Utilisateurs et Ajouter un utilisateur à partir de ce panneau.

Cliquez sur Autorisations après avoir ajouté le nom d'utilisateur et donné l'accès au programme. Créer une politique après avoir sélectionné l'option « Joindre les politiques » directement et cliquez sur « Créer une politique.” Ajoutez le code ci-dessous, et votre document de politique ressemblera à ceci :

Pour plus de détails, reportez-vous à la documentation AWS si nécessaire. Entrez le nom préféré de votre police. Revenez à votre onglet Ajouter un utilisateur et attachez-y la politique récemment créée. Recherchez et choisissez la politique que vous venez de créer. Enregistrez maintenant les clés affichées, je.e., Identifiant de clé d'accès et clé d'accès secrète.

Configuration de la fédération de compte AWS :

Après avoir terminé toutes les étapes ci-dessus, ouvrez l'application de fédération de compte AWS et modifiez certains paramètres par défaut dans Okta. Dans l'onglet Connexion, modifiez votre type d'environnement. L'URL ACS peut être définie dans la zone URL ACS. Généralement, la zone URL ACS est facultative ; vous n'avez pas besoin de l'insérer si votre type d'environnement est déjà spécifié. Entrez la valeur ARN du fournisseur du fournisseur d'identité que vous avez créé lors de la configuration d'Okta et spécifiez également la durée de la session. Fusionnez tous les rôles disponibles attribués à n'importe qui en cliquant sur l'option Rejoindre tous les rôles.

Après avoir enregistré toutes ces modifications, veuillez choisir l'onglet suivant, i.e., l'onglet Provisioning et modifiez ses spécifications. L'intégration de l'application AWS Account Federation ne prend pas en charge le provisionnement. Fournir un accès API à Okta pour télécharger la liste des rôles AWS utilisés lors de l'attribution de l'utilisateur en activant l'intégration API. Entrez les valeurs des clés que vous avez enregistrées après avoir généré les clés d'accès dans les champs respectifs. Fournissez les identifiants de tous vos comptes connectés et vérifiez les informations d'identification de l'API en cliquant sur l'option Tester les informations d'identification de l'API.

Créer des utilisateurs et modifier les attributs de compte pour mettre à jour toutes les fonctions et autorisations. Maintenant, sélectionnez un utilisateur de test dans l'écran Affecter des personnes qui testera la connexion SAML. Sélectionnez toutes les règles que vous souhaitez affecter à cet utilisateur de test à partir des rôles d'utilisateur SAML trouvés dans l'écran d'affectation d'utilisateur. Après avoir terminé le processus d'attribution, le tableau de bord de test d'Okta affiche une icône AWS. Cliquez sur cette option après vous être connecté au compte d'utilisateur de test. Vous verrez un écran de toutes les tâches qui vous sont attribuées.

Conclusion:

SAML permet aux utilisateurs d'utiliser un ensemble d'informations d'identification autorisées et de se connecter à d'autres applications et services Web compatibles SAML sans autre connexion. AWS SSO simplifie la supervision à mi-chemin de l'accès fédéré à divers enregistrements, services et applications AWS et offre aux clients une expérience d'authentification unique pour tous leurs enregistrements, services et applications attribués à partir d'un seul endroit. AWS SSO fonctionne avec un fournisseur d'identité de son choix, je.e., Okta ou Azure via le protocole SAML.