AWS IAM Identity Center (Identity Store)

Über AWS IAM Identity Center (Identity Store)

Diese Quelle liest Benutzer, Gruppen und Mitgliedschaften über die identitystore:-API – die Verzeichnisebene hinter IAM Identity Center. Permission Sets, Kontozuweisungen und SSO-Anwendungen befinden sich unter sso: und werden von IAM Identity Center (SSO) abgedeckt. Erstellen Sie die Rolle in Ihrem Verwaltungskonto der Organisation oder im Konto des delegierten Administrators, in dem Identity Center aktiviert ist. AWS stellt keine minimale verwaltete Richtlinie nur für Identity Store bereit. Verwenden Sie das unten stehende Inline-JSON.

So funktioniert es

Iru wird in einem eigenen AWS-Konto ausgeführt. Um Benutzer, Gruppen und Mitgliedschaften aus Identity Store zu lesen, erstellen Sie eine IAM-Rolle mit einer Vertrauensrichtlinie (sts:AssumeRole + External ID aus dem Assistenten) und schreibgeschützten identitystore:-Berechtigungen. AWS veröffentlicht keine minimale verwaltete Richtlinie nur für Identity Store; das Inline-JSON auf der Registerkarte AWS entspricht den Aufrufen, die Iru ausführt. Fügen Sie den ARN der Rolle anschließend in Iru ein.

Detail	Wert
Kategorie	Sicherheit
Authentifizierung	Kontoübergreifende IAM-Rolle

Voraussetzungen

IAM Identity Center aktiviert; Rolle im Verwaltungskonto oder im Konto des delegierten Administrators.
Die Identity Store ID d-xxxxxxxxxx ist in der Konsole unter Einstellungen auffindbar, sobald Iru verbunden ist.

Identity Store mit Iru verbinden

Iru Compliance
AWS

Beginnen Sie hier: Öffnen Sie den Quellen-Assistenten und kopieren Sie die Vertrauensrichtlinie (notieren Sie sich die externe ID). Wenn Sie bereit sind, die Rolle in AWS zu erstellen, wechseln Sie zur Registerkarte AWS und folgen Sie IAM-Rolle in AWS erstellen. Sobald Sie den Role ARN haben, kehren Sie zur Registerkarte Iru Compliance zurück und schließen Sie unten Rollen-ARN in Iru übermitteln ab.

Vertrauensrichtlinie aus Iru abrufen

Quellen öffnen

Erweitern Sie in Iru Compliance in der linken Navigationsleiste Compliance und wählen Sie Quellen aus.

Linke Navigation: Compliance erweitert, Sources ausgewählt

AWS IAM Identity Center (Identity Store) aktivieren

Suchen Sie AWS IAM Identity Center (Identity Store) (verwenden Sie Kategorie oder Nach Name oder Beschreibung suchen). Aktivieren Sie auf dieser Karte den Schalter. Lassen Sie die Assistenten-Registerkarte Iru fordert Zugriff auf externe Dienste an geöffnet.

JSON der Vertrauensrichtlinie kopieren

Der Assistent zeigt das JSON der Vertrauensrichtlinie, das Ihre IAM-Rolle verwenden muss (Principal und sts:ExternalId). Unten finden Sie ein Beispiel für die Struktur; kopieren Sie das aktuelle JSON aus Ihrem Assistenten, damit Konto, Principal-ARN und externe ID exakt übereinstimmen.

copy=false

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::753695775620:role/IruConnect"
      },
      "Condition": {
        "StringEquals": {
          "sts:ExternalId": "YOUR_EXTERNAL_ID"
        }
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

Zu AWS wechseln, um die Rolle zu erstellen

Lassen Sie die Registerkarte des Iru-Assistenten als Referenz geöffnet, wechseln Sie dann zur Registerkarte AWS und folgen Sie IAM-Rolle in AWS erstellen.

Rollen-ARN in Iru übermitteln

Schließen Sie zuerst die Registerkarte AWS ab (bis einschließlich IAM-Rolle in AWS erstellen), damit Sie den Role ARN der neuen Rolle haben.

IAM Role ARN einfügen

Kehren Sie zur Registerkarte des Iru-Assistenten zurück. Fügen Sie den Role ARN an der Stelle ein, an der der Connector danach fragt.

Verbindung abschließen

Wählen Sie Submit Role aus. Wenn die Verbindung erfolgreich ist, zeigt der Assistent Verbindung konfiguriert an.

Prüfen, ob die Quelle aktiv ist

Schließen Sie die Browser-Registerkarte Iru fordert Zugriff auf externe Dienste an, kehren Sie dann zu Compliance → Quellen zurück und vergewissern Sie sich, dass die Karte Identity Store den Status Aktiv hat.

Schließen Sie Vertrauensrichtlinie aus Iru abrufen auf der Registerkarte Iru Compliance ab, bevor Sie diese Rolle erstellen. Verwenden Sie die externe ID und die Vertrauensrichtlinie aus dem aktuellen Assistenten, wenn Sie Trusted entity konfigurieren.

IAM-Rolle in AWS erstellen

Workflow „Create role“ starten

Öffnen Sie im management- oder delegated administrator-Konto IAM → Roles → Create role.

Vertrauenswürdige Entität konfigurieren

Wählen Sie AWS account → Another AWS account. Geben Sie 753695775620 ein (oder die ID, die Iru anzeigt). Aktivieren Sie Require external ID und fügen Sie die externe ID aus Iru ein.

Umfassende verwaltete Richtlinien überspringen

Fahren Sie fort, ohne AWSSSOReadOnly anzuhängen, sofern Ihr Team diese Richtlinie nicht als Standard festgelegt hat – Lesezugriffe auf Identity Store sind enger gefasst.

Identity-Store-Inline-Richtlinie hinzufügen

Erstellen Sie eine Inline-Richtlinie mit diesem JSON:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "identitystore:Describe*",
        "identitystore:Get*",
        "identitystore:List*"
      ],
      "Resource": "*"
    }
  ]
}

Rolle benennen und ARN kopieren

Benennen Sie die Rolle, erstellen Sie sie und kopieren Sie den Role ARN. Wechseln Sie zurück zur Registerkarte Iru Compliance und schließen Sie Rollen-ARN in Iru übermitteln ab.

Fahren Sie auf der Registerkarte Iru Compliance fort, um den Role ARN einzufügen und den Assistenten abzuschließen (Rollen-ARN in Iru übermitteln).

Fehlerbehebung

Beim Aktivieren der Quelle öffnet sich nichts

Überprüfen Sie die Einstellungen des Pop-up-Blockers für die Iru-Website und versuchen Sie es erneut.

Leeres Verzeichnis

Falsches Konto – verwenden Sie das Verwaltungskonto oder das Konto des delegierten Administrators, in dem Identity Center ausgeführt wird.

AccessDenied bei Aktionen

Verwenden Sie identitystore:, nicht sso:.

AssumeRole verweigert

Die externe ID stimmt nicht überein.

Hinweise

Die Heimatregion von Identity Center ist pro…

Die Heimatregion von Identity Center ist pro Organisation festgelegt; die Nachweise spiegeln dieses Bereitstellungsmodell wider.

AWS IAM Identity Center (SSO)

Die zugehörige Quelle in Compliance verbinden und verwalten.

Quellenverwaltung

Alle Compliance-Quellen durchsuchen und verwalten.

Erste Schritte mit Compliance

Frameworks, Aktionen und Artefakte.

Erste Schritte

Aktionen

Frameworks

Artefakte

Quellen

Richtlinien

Trust Center

Workflows

AWS IAM Identity Center (Identity Store)

Über AWS IAM Identity Center (Identity Store)

So funktioniert es

Voraussetzungen

Identity Store mit Iru verbinden

Vertrauensrichtlinie aus Iru abrufen

Rollen-ARN in Iru übermitteln

IAM-Rolle in AWS erstellen

Fehlerbehebung

Hinweise

Die Heimatregion von Identity Center ist pro…

Verwandte Artikel

AWS IAM Identity Center (SSO)

Quellenverwaltung

Erste Schritte mit Compliance

​Über AWS IAM Identity Center (Identity Store)

​So funktioniert es

​Voraussetzungen

​Identity Store mit Iru verbinden

​Vertrauensrichtlinie aus Iru abrufen

​Rollen-ARN in Iru übermitteln

​IAM-Rolle in AWS erstellen

​Fehlerbehebung

​Hinweise

Die Heimatregion von Identity Center ist pro…

​Verwandte Artikel

AWS IAM Identity Center (SSO)

Quellenverwaltung

Erste Schritte mit Compliance

Über AWS IAM Identity Center (Identity Store)

So funktioniert es

Voraussetzungen

Identity Store mit Iru verbinden

Vertrauensrichtlinie aus Iru abrufen

Rollen-ARN in Iru übermitteln

IAM-Rolle in AWS erstellen

Fehlerbehebung

Hinweise

Verwandte Artikel