Acerca de AWS IAM Identity Center (SSO)
Este conector se dirige a las APIsso:: conjuntos de permisos, asignaciones de cuentas, instancias y aplicaciones de SSO. Los usuarios y grupos provienen de Identity Store (identitystore:). AWSSSOReadOnly existe, pero a menudo necesita complementarse; la política en línea que aparece a continuación abarca Describe*, Get*, List* y Search* en sso:.
Implementa el rol en la cuenta de administración o de administrador delegado.
Cómo funciona
Iru se ejecuta en su propia cuenta de AWS. Para leer la configuración de SSO de IAM Identity Center (conjuntos de permisos, asignaciones, instancias, aplicaciones), creas un rol de IAM en tu cuenta de administración o de administrador delegado con una política de confianza (sts:AssumeRole + External ID del asistente) y permisos de solo lectura sso:. AWSSSOReadOnly existe, pero no siempre cubre todas las acciones que necesita Iru, por lo que la política en línea de la pestaña AWS es la opción predeterminada fiable. Pega el ARN del rol de vuelta en Iru.
Requisitos previos
- IAM Identity Center habilitado para la organización.
- Permisos para crear roles en la cuenta de administración o de administrador delegado.
Conectar IAM Identity Center (SSO) a Iru
- Iru Compliance
- AWS
Empieza aquí: abre el asistente de la fuente y copia la política de confianza (y anota el ID externo). Cuando estés listo para crear el rol en AWS, cambia a la pestaña AWS y sigue Crear el rol de IAM en AWS. Cuando tengas el Role ARN, vuelve a la pestaña Iru Compliance y completa Enviar el ARN del rol en Iru a continuación.
Obtener la política de confianza de Iru
1
Abrir Sources
En Iru Compliance, en la barra de navegación izquierda, expande Cumplimiento y selecciona Fuentes.
2
Activar AWS IAM Identity Center (SSO)
Busca AWS IAM Identity Center (SSO) (usa Categoría o Buscar por nombre o descripción). En esa tarjeta, activa el interruptor. Deja abierta la pestaña del asistente Iru está solicitando acceso a servicios externos.
3
Copiar el JSON de la política de confianza
El asistente muestra el JSON de la política de confianza que debe usar tu rol de IAM (Principal y sts:ExternalId). A continuación se muestra un ejemplo de la estructura; copia el JSON activo de tu asistente para que la cuenta, el ARN del principal y el ID externo coincidan exactamente.
copy=false
4
Cambiar a AWS para crear el rol
Mantén abierta la pestaña del asistente de Iru como referencia y, a continuación, cambia a la pestaña AWS y sigue Crear el rol de IAM en AWS.
Enviar el ARN del rol en Iru
Termina primero la pestaña AWS (hasta Crear el rol de IAM en AWS) para tener el Role ARN del nuevo rol.
1
Pegar el ARN del rol de IAM
Vuelve a la pestaña del asistente de Iru. Pega el Role ARN donde el conector lo solicite.
2
Finalizar la conexión
Selecciona Submit Role. Cuando la conexión se realiza correctamente, el asistente muestra Conexión configurada.
3
Confirmar que la fuente está activa
Cierra la pestaña del navegador Iru está solicitando acceso a servicios externos y, a continuación, vuelve a Cumplimiento → Fuentes y confirma que la tarjeta de AWS IAM Identity Center (SSO) está Activo.
Solución de problemas
No se abre nada al activar la fuente
No se abre nada al activar la fuente
Revisa la configuración del bloqueador de ventanas emergentes para el sitio de Iru e inténtalo de nuevo.
No hay asignaciones
No hay asignaciones
Los roles de las cuentas miembro no pueden ver la configuración de SSO de la organización: usa la cuenta de administración o de administrador delegado.
Faltan aplicaciones
Faltan aplicaciones
Confirma la cobertura de
sso:List* / sso:Describe* (comodín anterior).Prefijo de API incorrecto
Prefijo de API incorrecto
La administración de SSO usa
sso:, no identitycenter:, para estas lecturas.AssumeRole denegado
AssumeRole denegado
El ID externo no coincide.
Artículos relacionados
AWS IAM Identity Center (Identity Store)
Conecta y gestiona la fuente relacionada en Compliance.
Gestión de fuentes
Explora y gestiona todas las fuentes de Compliance.
Introducción a Compliance
Marcos, acciones y Artefactos.