Über AWS IAM Identity Center (SSO)
Dieser Connector nutzt diesso:-APIs – Permission Sets, Kontozuweisungen, Instanzen und SSO-Anwendungen. Benutzer und Gruppen stammen aus Identity Store (identitystore:). AWSSSOReadOnly ist vorhanden, muss aber häufig ergänzt werden; die unten stehende Inline-Richtlinie umfasst Describe*, Get*, List* und Search* für sso:.
Stellen Sie die Rolle im Verwaltungskonto oder im Konto des delegierten Administrators bereit.
So funktioniert es
Iru wird in einem eigenen AWS-Konto ausgeführt. Um die SSO-Konfiguration von IAM Identity Center (Permission Sets, Zuweisungen, Instanzen, Anwendungen) zu lesen, erstellen Sie in Ihrem Verwaltungskonto oder im Konto des delegierten Administrators eine IAM-Rolle mit einer Vertrauensrichtlinie (sts:AssumeRole + External ID aus dem Assistenten) und schreibgeschützten sso:-Berechtigungen. AWSSSOReadOnly ist vorhanden, deckt aber nicht immer alle Aktionen ab, die Iru benötigt; daher ist die Inline-Richtlinie auf der Registerkarte AWS die zuverlässige Standardwahl. Fügen Sie den ARN der Rolle anschließend in Iru ein.
Voraussetzungen
- IAM Identity Center für die Organisation aktiviert.
- Berechtigungen zum Erstellen von Rollen im Verwaltungskonto oder im Konto des delegierten Administrators.
IAM Identity Center (SSO) mit Iru verbinden
- Iru Compliance
- AWS
Beginnen Sie hier: Öffnen Sie den Quellen-Assistenten und kopieren Sie die Vertrauensrichtlinie (notieren Sie sich die externe ID). Wenn Sie bereit sind, die Rolle in AWS zu erstellen, wechseln Sie zur Registerkarte AWS und folgen Sie IAM-Rolle in AWS erstellen. Sobald Sie den Role ARN haben, kehren Sie zur Registerkarte Iru Compliance zurück und schließen Sie unten Rollen-ARN in Iru übermitteln ab.
Vertrauensrichtlinie aus Iru abrufen
1
Quellen öffnen
Erweitern Sie in Iru Compliance in der linken Navigationsleiste Compliance und wählen Sie Quellen aus.
2
AWS IAM Identity Center (SSO) aktivieren
Suchen Sie AWS IAM Identity Center (SSO) (verwenden Sie Kategorie oder Nach Name oder Beschreibung suchen). Aktivieren Sie auf dieser Karte den Schalter. Lassen Sie die Assistenten-Registerkarte Iru fordert Zugriff auf externe Dienste an geöffnet.
3
JSON der Vertrauensrichtlinie kopieren
Der Assistent zeigt das JSON der Vertrauensrichtlinie, das Ihre IAM-Rolle verwenden muss (Principal und sts:ExternalId). Unten finden Sie ein Beispiel für die Struktur; kopieren Sie das aktuelle JSON aus Ihrem Assistenten, damit Konto, Principal-ARN und externe ID exakt übereinstimmen.
copy=false
4
Zu AWS wechseln, um die Rolle zu erstellen
Lassen Sie die Registerkarte des Iru-Assistenten als Referenz geöffnet, wechseln Sie dann zur Registerkarte AWS und folgen Sie IAM-Rolle in AWS erstellen.
Rollen-ARN in Iru übermitteln
Schließen Sie zuerst die Registerkarte AWS ab (bis einschließlich IAM-Rolle in AWS erstellen), damit Sie den Role ARN der neuen Rolle haben.
1
IAM Role ARN einfügen
Kehren Sie zur Registerkarte des Iru-Assistenten zurück. Fügen Sie den Role ARN an der Stelle ein, an der der Connector danach fragt.
2
Verbindung abschließen
Wählen Sie Submit Role aus. Wenn die Verbindung erfolgreich ist, zeigt der Assistent Verbindung konfiguriert an.
3
Prüfen, ob die Quelle aktiv ist
Schließen Sie die Browser-Registerkarte Iru fordert Zugriff auf externe Dienste an, kehren Sie dann zu Compliance → Quellen zurück und vergewissern Sie sich, dass die Karte AWS IAM Identity Center (SSO) den Status Aktiv hat.
Fehlerbehebung
Beim Aktivieren der Quelle öffnet sich nichts
Beim Aktivieren der Quelle öffnet sich nichts
Überprüfen Sie die Einstellungen des Pop-up-Blockers für die Iru-Website und versuchen Sie es erneut.
Keine Zuweisungen
Keine Zuweisungen
Rollen in Mitgliedskonten können die SSO-Konfiguration der Organisation nicht sehen – verwenden Sie das Verwaltungskonto bzw. das Konto des delegierten Administrators.
Anwendungen fehlen
Anwendungen fehlen
Vergewissern Sie sich, dass
sso:List* / sso:Describe* abgedeckt sind (Platzhalter oben).Falsches API-Präfix
Falsches API-Präfix
Die SSO-Verwaltung verwendet für diese Lesezugriffe
sso:, nicht identitycenter:.AssumeRole verweigert
AssumeRole verweigert
Die externe ID stimmt nicht überein.
Verwandte Artikel
AWS IAM Identity Center (Identity Store)
Die zugehörige Quelle in Compliance verbinden und verwalten.
Quellenverwaltung
Alle Compliance-Quellen durchsuchen und verwalten.
Erste Schritte mit Compliance
Frameworks, Aktionen und Artefakte.