Überlegungen zu IAM Identity Center

Die folgenden Themen enthalten Anleitungen zur Einrichtung von IAM Identity Center für bestimmte Umgebungen. Machen Sie sich mit den Anleitungen vertraut, die für Ihre Umgebung gelten, bevor Sie fortfahrenTeil 2: Einen Administratorbenutzer in IAM Identity Center erstellen.

Active Directory oder externer IdP

Wenn Sie bereits Benutzer und Gruppen in Active Directory oder einem externen IdP verwalten, empfehlen wir Ihnen, eine Verbindung zu dieser Identitätsquelle in Betracht zu ziehen, wenn Sie IAM Identity Center aktivieren und Ihre Identitätsquelle auswählen. Wenn Sie dies tun, bevor Sie Benutzer und Gruppen im standardmäßigen Identity Center-Verzeichnis erstellen, können Sie die zusätzliche Konfiguration vermeiden, die erforderlich ist, wenn Sie Ihre Identitätsquelle später ändern.

Wenn Sie Active Directory als Identitätsquelle verwenden möchten, muss Ihre Konfiguration die folgenden Voraussetzungen erfüllen:

• Wenn Sie es verwenden AWS Managed Microsoft AD, müssen Sie IAM Identity Center dort aktivieren AWS-Region , wo Ihr AWS Managed Microsoft AD Verzeichnis eingerichtet ist. IAM Identity Center speichert die Zuweisungsdaten in derselben Region wie das Verzeichnis. Um IAM Identity Center zu verwalten, müssen Sie möglicherweise zu der Region wechseln, in der IAM Identity Center konfiguriert ist. Beachten Sie außerdem, dass das AWS Zugriffsportal dieselbe Zugriffs-URL wie Ihr Verzeichnis verwendet.

• Verwenden Sie ein Active Directory, das sich in Ihrem Verwaltungskonto befindet:

  Sie müssen einen vorhandenen AD Connector oder ein AWS Managed Microsoft AD Verzeichnis eingerichtet haben AWS Directory Service, und es muss sich in Ihrem AWS Organizations Verwaltungskonto befinden. Sie können nur einen AD Connector oder einen nach AWS Managed Microsoft AD dem anderen verbinden. Wenn Sie mehrere Domänen oder Gesamtstrukturen unterstützen müssen, verwenden Sie AWS Managed Microsoft AD. Weitere Informationen finden Sie unter:

  • Stellen Sie im AWS IAM Identity Center Benutzerhandbuch eine Connect AWS Managed Microsoft AD zu IAM Identity Center her.

  • Connect ein selbstverwaltetes Verzeichnis in Active Directory mit dem IAM Identity Center im AWS IAM Identity Center Benutzerhandbuch.

• Verwenden Sie ein Active Directory, das sich im delegierten Administratorkonto befindet:

  Wenn Sie planen, den delegierten Administrator für IAM Identity Center zu aktivieren und Active Directory als Ihre IAM-Identitätsquelle zu verwenden, können Sie einen vorhandenen AD Connector oder ein Verzeichnis verwenden, das in einem AWS Managed Microsoft AD Verzeichnis eingerichtet ist, das sich im AWS delegierten Administratorkonto befindet.

  Wenn Sie beschließen, die IAM Identity Center-Quelle von einer anderen Quelle in Active Directory zu ändern oder sie von Active Directory in eine andere Quelle zu ändern, muss sich das Verzeichnis in dem delegierten IAM Identity Center-Administrator-Mitgliedskonto befinden (diesem gehören), falls eines existiert; andernfalls muss es sich im Verwaltungskonto befinden.

AWS Organizations

Ihr Konto AWS-Konto muss von verwaltet werden. AWS Organizations Wenn Sie keine Organisation gegründet haben, müssen Sie das auch nicht tun. Wenn Sie IAM Identity Center aktivieren, wählen Sie aus, ob Sie eine Organisation für Sie AWS erstellen lassen möchten.

Wenn Sie es bereits eingerichtet haben AWS Organizations, stellen Sie sicher, dass alle Funktionen aktiviert sind. Weitere Informationen finden Sie unter Aktivieren aller Funktionen in Ihrer Organisation im AWS Organizations Benutzerhandbuch.

Um IAM Identity Center zu aktivieren, müssen Sie sich mit den AWS Management Console Anmeldeinformationen Ihres AWS Organizations Verwaltungskontos bei der anmelden. Sie können IAM Identity Center nicht aktivieren, während Sie mit den Anmeldeinformationen eines AWS Organizations Mitgliedskontos angemeldet sind. Weitere Informationen finden Sie im AWS Organizations Benutzerhandbuch unter AWS Organisation erstellen und verwalten.

IAM-Rollen

Wenn Sie in Ihrem bereits IAM-Rollen konfiguriert haben, empfehlen wir Ihnen AWS-Konto, zu überprüfen, ob sich Ihr Konto dem Kontingent für IAM-Rollen nähert. Weitere Informationen finden Sie unter IAM-Objektkontingente.

Wenn Sie sich dem Kontingent nähern, sollten Sie erwägen, eine Erhöhung des Kontingents zu beantragen. Andernfalls könnten Probleme mit IAM Identity Center auftreten, wenn Sie Berechtigungssätze für Konten bereitstellen, die das IAM-Rollenkontingent überschritten haben. Informationen dazu, wie Sie eine Kontingenterhöhung beantragen können, finden Sie unter Eine Kontingenterhöhung beantragen im Service Quotas Quota-Benutzerhandbuch.

Firewalls und sichere Web-Gateways der nächsten Generation

Wenn Sie den Zugriff auf bestimmte AWS Domänen oder URL-Endpunkte mithilfe einer Lösung zur Filterung von Webinhalten wie NGFWs oder filtern SWGs, müssen Sie die folgenden Domänen oder URL-Endpunkte zu den Zulassungslisten Ihrer Lösung für die Filterung von Webinhalten hinzufügen.

Spezifische DNS-Domänen

• *.awsapps.com (http://awsapps.com/)

• *.signin.aws

Spezifische URL-Endpunkte

• https://[yourdirectory].awsapps.com/start

• https://[yourdirectory].awsapps.com/login

• https://.signin. [yourregion] aws/platform/login