Concessione dell' QuickSight accesso agli utenti IAM

Nota

Un utente IAM è un'entità che crei in AWS Identity and Access Management (IAM). Questo tipo di entità accede al tuo Account AWS utilizzando credenziali a lungo termine. Come best practice, AWS consiglia di concedere l'accesso tramite credenziali temporanee utilizzando la federazione delle identità e i ruoli IAM. Per ulteriori informazioni, consulta Best practice per la sicurezza in IAM.

Di seguito sono riportate le caratteristiche di questa architettura e approccio di accesso:

• Il record QuickSight utente Amazon è collegato all'utente in IAM.

• Le password degli utenti vengono gestite in IAM.

• Puoi invitare direttamente gli utenti IAM o creare una policy basata sull'identità IAM che consenta agli utenti di fornire autonomamente l'accesso.

• Questo tipo di utente può accedere tramite la console o tramite. QuickSight AWS Management Console

Considerazioni e casi d'uso

Sebbene AWS in genere non sia consigliabile configurare l'accesso tramite gli utenti IAM, altri approcci di accesso, come la federazione, potrebbero non essere attualmente disponibili nell'organizzazione. Molte organizzazioni che hanno appena iniziato il loro percorso verso il cloud non hanno ancora stabilito ruoli IAM e lavorano in un'architettura a account singolo. Se la tua organizzazione utilizza utenti IAM per accedere al tuo AWS ambiente, riapplicare quell'approccio QuickSight potrebbe essere l'approccio più diretto e sensato fino a quando l'organizzazione non supporterà altri approcci.

Prerequisiti

• Per l'approccio basato sull'invito diretto, hai bisogno di:

  • Autorizzazioni amministrative in QuickSight (vedi Politiche basate sull'identità IAM per le edizioni Standard o Enterprise)

  • L'indirizzo e-mail dell'utente IAM

• Per l'approccio di accesso con provisioning automatico, l'utente necessita delle autorizzazioni per creare Amazon QuickSight (vedi Politiche basate sull'identità IAM per Amazon: creazione di utenti) QuickSight

• L'utente IAM deve avere una password associata alle proprie credenziali IAM

Configurazione dell'accesso per un utente IAM

Puoi concedere l'accesso QuickSight agli utenti IAM utilizzando una delle seguenti opzioni:

• Invito diretto: inviti l'utente IAM QuickSight ad accedere e l'utente può accettare l'invito tramite e-mail.

• Accesso autonomo: crei una policy IAM che consente agli utenti di fornire il proprio accesso. Quando un utente accede QuickSight per la prima volta, ottiene l'accesso e definisce l'indirizzo e-mail che verrà associato al suo record utente. QuickSight

Il risultato di entrambe le opzioni è lo stesso: l'utente IAM può accedere QuickSight. Tuttavia, ciascuna presenta vantaggi e svantaggi, come illustrato nella tabella seguente. Ad esempio, l'invito diretto potrebbe essere preferibile per le organizzazioni che desiderano imporre l'uso di indirizzi e-mail aziendali approvati.

Approccio	Vantaggi	Svantaggi
Invito diretto	Gli amministratori possono controllare quale indirizzo e-mail è associato al record utente in QuickSight Nessuna attività di gestione delle policy IAM	Altro manuale
Accesso fornito autonomamente	Può essere integrato nei processi operativi IT esistenti per fornire l'accesso tramite le policy IAM, laddove la capacità di self-provisioning fa già parte delle politiche IAM esistenti	Gli amministratori non possono controllare l'indirizzo e-mail a cui l'utente fornisce QuickSight

Invito diretto

Per istruzioni su come configurare l'accesso per un utente IAM, consulta Invitare gli utenti ad accedere ad Amazon QuickSight. Tieni presente quanto segue durante la configurazione di questo tipo di accesso utente:

• Per il QuickSight nome utente, inserisci il nome utente dell'utente IAM. I caratteri consentiti sono lettere, numeri e i seguenti caratteri:. _ - (trattino).

• Per un utente IAM, scegli Sì.

• L'utente ha sette giorni per accettare l'invito. Se non accettano entro questo periodo di tempo, puoi inviare nuovamente l'email di invito.

• Quando l'utente accetta l'invito, deve inserire la password associata alle proprie credenziali IAM.

Accesso fornito automaticamente

Quando gli utenti IAM possono fornire autonomamente l'accesso, non è necessario che vengano invitati all'account. QuickSight La prima volta che provano ad accedere alla QuickSight console, devono inserire un indirizzo email. Quando l'utente sceglie Continua, QuickSight crea un record utente per quell'utente IAM.

Per concedere l'autorizzazione a fornire il proprio accesso, devi creare una policy basata sull'identità e applicarla agli utenti IAM o al gruppo di utenti IAM. Per ulteriori informazioni sul tagging, consulta Configurazione delle policy IAMin questa guida.