Los clientes de hoy quieren establecer una identidad única y una estrategia de acceso en todas sus propias aplicaciones, como aplicaciones locales, aplicaciones en la nube de terceros (SaaS) o aplicaciones en AWS. Si su organización usa Azure Active Directory (Azure AD) para aplicaciones en la nube, puede habilitar el inicio de sesión único (SSO) para aplicaciones como Amazon QuickSight sin necesidad de crear otra cuenta de usuario o recordar contraseñas.
También puede habilitar el control de acceso basado en roles para asegurarse de que los usuarios obtengan los permisos de roles adecuados en QuickSight en función de sus derechos almacenados en los atributos de Active Directory o otorgados a través de la membresía del grupo de Active Directory.
La configuración también permite que los administradores se concentren en administrar una fuente única de información para las identidades de los usuarios en Azure AD, al mismo tiempo que tienen la comodidad de configurar el acceso a otras cuentas y aplicaciones de AWS de forma centralizada.
En esta publicación, repasamos los pasos necesarios para configurar SSO federado entre QuickSight y Azure AD. También mostramos formas de asignar un rol de QuickSight en función de la pertenencia a un grupo de Azure AD. Los administradores pueden publicar la aplicación QuickSight en el portal de aplicaciones de Azure para permitir que los usuarios inicien sesión en QuickSight con sus credenciales de Azure AD o Active Directory de manera segura.
La solución de esta publicación utiliza un SSO iniciado por un proveedor de identidad (IdP), lo que significa que sus usuarios finales deben iniciar sesión en Azure AD y elegir la aplicación QuickSight publicada en el portal de Azure App Portal para iniciar sesión en QuickSight.
Registro de una aplicación QuickSight en Azure AD
Su primer paso es crear una aplicación QuickSight en Azure AD.
Inicie sesión en su portal de Azure con la cuenta de administrador en el arrendatario de Azure AD donde desea registrar la aplicación QuickSight.
En Servicios de Azure, abra Azure Active Directory y, en Administrar, elija Aplicación empresarial.
New Application > Non-gallery application > Name : Amazon QuickSight
Creación de usuarios y grupos en Azure AD
Ahora puede crear nuevos usuarios y grupos o elegir usuarios y grupos existentes que puedan acceder a QuickSight.
En Administrar, elija Todas las aplicaciones y abra Amazon QuickSight.
En Primeros pasos, elija Asignar usuarios y grupos.
Para esta publicación, cree tres grupos, uno para cada rol de QuickSight.
- QuickSight-Admin
- QuickSight-Author
- QuickSight-Reader
Configuring SSO in Azure AD
Ahora puede comenzar a configurar los ajustes de SSO para la aplicación.
En Administrar, elija Inicio de sesión único.
Para Seleccionar un método de inicio de sesión único, elija SAML.
Luego, para configurar las secciones, elija Editar.
En la sección Configuración básica de SAML, para Identificador (Entity ID), ingrese
Entity ID: URN:AMAZON:WEBSERVICES
Reply URL: https://signin.aws.amazon.com/saml
Sign on URL: deje en blanco
Relay State: https://quicksight.aws.amazon.com
Logout URL: deje en blanco
En SAML Signing Certificate seleccionar Download y luego Federation Metadata XML
Este documento XML se usara posteriormente para la configuración del Identity Provider IdP en el servicio IAM.
Creación de Azure AD como su IdP de SAML en AWS
En la consola de IAM, elija Proveedores de identidad (IdP).
Elija Crear proveedor.
Para Nombre del proveedor, ingrese AzureActiveDirectory.
Elija Choose File para cargar el documento de metadatos que descargó anteriormente.
Verifique la información del proveedor y elija Crear y en la página de resumen, registre el valor del ARN del IdP. (Necesita este ARN para configurar las reglas de notificaciones más adelante en esta publicación)
Configuración de políticas de IAM
En este paso, crea tres políticas de IAM para diferentes permisos de funciones en QuickSight:
Para, Usuario Administrador: QuickSight-Federated-Admin
Para, Usuario Author: QuickSight-Federated-Author
Para, Usuario Reader: QuickSight-Federated-Reader
Esta política otorga privilegios de administrador en QuickSight al usuario federado. Vaya en la consola de AWS al servicio de IAM y cree una política.
Ahora repita los pasos para crear la política QuickSight-Federated-Author y QuickSight-Federated-Reader utilizando los siguientes códigos JSON para cada política cambiando la Key “Action”.
Configurando roles IAM
A continuación, crea los roles que asumen sus usuarios de Azure AD cuando se federan en QuickSight.
Tipo de trusted entity: SAML 2.0 federation
SAML provider: AzureActiveDirectory
Value: https://signin.aws.amazon.com/saml
Permisos: QuickSight-Federated-Admin-Policy
Volvemos al portal de Azure AD para configurar los atributos de usuarios y los Claims.
En este paso, regresa a la aplicación en Azure Portal y configura las notificaciones de usuario que Azure AD envía a AWS.
De manera predeterminada, se completan varios atributos SAML para la nueva aplicación, pero no necesita estos atributos para la federación en QuickSight. En Additional Claims, para este ejercicio utilizaremos solo 3 Claims:
Role
RoleSessionName
SAML_SUBJECT
Creando el Claim: Role
En la configuración de Single Sign On con SAML editamo Attributes & Claims
Creamos un claim como vemos en la siguiente pantalla:
Teniendo en cuenta que el orden para colocar el valor del atributo en la condición es:
arn:aws:iam::<Account ID>:role/QuickSight-Admin-Role,arn:aws:iam::<Account ID>:saml-provider/AzureActiveDirectory
Creando el Claim: RoleSessionName
Creando el Claim: SAML_SUBJECT
Hacemos un test a la aplicación
Ahora estamos listos para probar la aplicación.
En Azure Portal, en la página de Azure Active Directory.
Como siguiente paso en la configuración de SAML-based Sign-on ubicamos la sección 5 para realizar el test:
Y como resultado tendremos la respuesta del test:
En conclusión esta publicación proporciona instrucciones paso a paso para configurar un SSO federado con Azure AD como IdP como también discutimos cómo asignar usuarios y grupos en Azure AD a roles de IAM para un acceso seguro a Amazon QuickSight.
