Provisioning automatico

IAM Identity Center supporta il provisioning automatico (sincronizzazione) di informazioni su utenti e gruppi dal tuo provider di identità (IdP) a IAM Identity Center utilizzando il protocollo System for Cross-domain Identity Management (SCIM) v2.0. Quando configuri la sincronizzazione SCIM, crei una mappatura degli attributi utente del tuo provider di identità (IdP) agli attributi denominati in IAM Identity Center. Ciò fa sì che gli attributi previsti corrispondano tra IAM Identity Center e il tuo IdP. Puoi configurare questa connessione nel tuo IdP utilizzando il tuo endpoint SCIM per IAM Identity Center e un token bearer che crei in IAM Identity Center.

Considerazioni sull'utilizzo del provisioning automatico

Prima di iniziare a implementare SCIM, ti consigliamo di esaminare innanzitutto le seguenti importanti considerazioni su come funziona con IAM Identity Center. Per ulteriori considerazioni sul provisioning, consulta la sezione Tutorial introduttivi applicabile al tuo IdP.

• Se stai fornendo un indirizzo email principale, il valore di questo attributo deve essere unico per ogni utente. In alcuni casi IdPs, l'indirizzo e-mail principale potrebbe non essere un indirizzo e-mail reale. Ad esempio, potrebbe essere un Universal Principal Name (UPN) che assomiglia solo a un'e-mail. Questi IdPs possono avere un indirizzo e-mail secondario o «altro» che contiene l'indirizzo e-mail reale dell'utente. Devi configurare SCIM nel tuo IdP per mappare l'indirizzo email univoco non NULL all'attributo dell'indirizzo email primario di IAM Identity Center. Inoltre, devi mappare l'identificatore di accesso univoco non NULL degli utenti all'attributo del nome utente di IAM Identity Center. Verifica se il tuo IdP ha un unico valore che è sia l'identificatore di accesso che il nome e-mail dell'utente. In tal caso, puoi mappare il campo IdP sia all'e-mail principale di IAM Identity Center che al nome utente IAM Identity Center.

• Affinché la sincronizzazione SCIM funzioni, ogni utente deve avere un valore specificato per nome, cognome, nome utente e nome visualizzato. Se uno di questi valori non è presente in un utente, a quell'utente non verrà assegnato alcun ruolo.

• Se devi utilizzare applicazioni di terze parti, dovrai prima mappare l'attributo del soggetto SAML in uscita all'attributo del nome utente. Se l'applicazione di terze parti richiede un indirizzo e-mail instradabile, devi fornire l'attributo email al tuo IdP.

• Gli intervalli di provisioning e aggiornamento di SCIM sono controllati dal tuo provider di identità. Le modifiche agli utenti e ai gruppi nel tuo provider di identità si riflettono in IAM Identity Center solo dopo che il provider di identità ha inviato tali modifiche a IAM Identity Center. Rivolgiti al tuo provider di identità per i dettagli sulla frequenza degli aggiornamenti di utenti e gruppi.

• Attualmente, SCIM non fornisce attributi multivalore (come email o numeri di telefono multipli per un determinato utente). I tentativi di sincronizzare gli attributi multivalore in IAM Identity Center con SCIM falliranno. Per evitare errori, assicurati che venga passato un solo valore per ogni attributo. Se hai utenti con attributi multivalore, rimuovi o modifica le mappature degli attributi duplicati in SCIM presso il tuo IdP per la connessione a IAM Identity Center.

• Verifica che la mappatura externalId SCIM del tuo IdP corrisponda a un valore unico, sempre presente e con meno probabilità di modifica per i tuoi utenti. Ad esempio, il tuo IdP potrebbe fornire un identificatore garantito objectId o di altro tipo che non è influenzato dalle modifiche agli attributi utente come nome ed email. In tal caso, puoi mappare quel valore nel campo externalId SCIM. Ciò garantisce che gli utenti non perdano AWS diritti, assegnazioni o autorizzazioni se è necessario modificare il loro nome o indirizzo e-mail.

• Utenti che non sono ancora stati assegnati a un'applicazione o che non Account AWS possono essere inseriti in IAM Identity Center. Per sincronizzare utenti e gruppi, assicurati che siano assegnati all'applicazione o a un'altra configurazione che rappresenti la connessione del tuo IdP a IAM Identity Center.

• Il comportamento di deprovisioning degli utenti è gestito dal provider di identità e può variare in base all'implementazione. Rivolgiti al tuo provider di identità per i dettagli sul deprovisioning degli utenti.

Per ulteriori informazioni sull'implementazione SCIM di IAM Identity Center, consulta la IAM Identity Center SCIM Implementation Developer Guide.

Come monitorare la scadenza dei token di accesso

I token di accesso SCIM vengono generati con una validità di un anno. Quando il token di accesso SCIM è impostato per scadere tra 90 giorni o meno, ti AWS invia promemoria nella console IAM Identity Center e tramite la AWS Health Dashboard per aiutarti a ruotare il token. Ruotando il token di accesso SCIM prima della scadenza, garantisci continuamente la fornitura automatica delle informazioni su utenti e gruppi. Se il token di accesso SCIM scade, la sincronizzazione delle informazioni su utenti e gruppi dal provider di identità in IAM Identity Center si interrompe, quindi il provisioning automatico non può più effettuare aggiornamenti o creare ed eliminare informazioni. L'interruzione del provisioning automatico può comportare maggiori rischi per la sicurezza e influire sull'accesso ai servizi.

I promemoria della console di Identity Center persistono finché non si ruota il token di accesso SCIM e si eliminano i token di accesso non utilizzati o scaduti. Gli eventi del AWS Health Dashboard vengono rinnovati settimanalmente da 90 a 60 giorni, due volte a settimana da 60 a 30 giorni, tre volte alla settimana da 30 a 15 giorni e ogni giorno da 15 giorni fino alla scadenza dei token di accesso SCIM.

Come abilitare il provisioning automatico

Utilizza la seguente procedura per abilitare il provisioning automatico di utenti e gruppi dal tuo IdP a IAM Identity Center utilizzando il protocollo SCIM.

Nota

Prima di iniziare questa procedura, ti consigliamo di esaminare innanzitutto le considerazioni sul provisioning applicabili al tuo IdP. Per ulteriori informazioni, consulta la pagina Tutorial introduttivi dedicata al tuo IdP.

Per abilitare il provisioning automatico in IAM Identity Center

1. Dopo aver completato i prerequisiti, apri la console IAM Identity Center.

2. Scegli Impostazioni nel riquadro di navigazione a sinistra.

3. Nella pagina Impostazioni, individua la casella Informazioni sulla fornitura automatica, quindi scegli Abilita. Ciò abilita immediatamente il provisioning automatico in IAM Identity Center e visualizza le informazioni necessarie sull'endpoint SCIM e sul token di accesso.

4. Nella finestra di dialogo di provisioning automatico in entrata, copia ciascuno dei valori per le seguenti opzioni. Dovrai incollarli in un secondo momento quando configuri il provisioning nel tuo IdP.

   1. Endpoint SCIM

   2. Token di accesso

5. Scegli Chiudi.

Dopo aver completato questa procedura, è necessario configurare il provisioning automatico nel proprio IdP. Per ulteriori informazioni, consulta la pagina Tutorial introduttivi dedicata al tuo IdP.

Come disattivare il provisioning automatico

Utilizza la seguente procedura per disabilitare il provisioning automatico nella console IAM Identity Center.

Importante

È necessario eliminare il token di accesso prima di iniziare questa procedura. Per ulteriori informazioni, consulta Come eliminare un token di accesso.

Per disabilitare il provisioning automatico nella console IAM Identity Center

1. Nella console IAM Identity Center, scegli Impostazioni nel riquadro di navigazione a sinistra.

2. Nella pagina Impostazioni, scegli la scheda Identity source, quindi scegli Azioni > Gestisci il provisioning.

3. Nella pagina Provisioning automatico, scegli Disabilita.

4. Nella finestra di dialogo Disabilita il provisioning automatico, esaminate le informazioni, digitate DISABLE, quindi scegliete Disabilita il provisioning automatico.

Come generare un nuovo token di accesso

Utilizza la seguente procedura per generare un nuovo token di accesso nella console IAM Identity Center.

Nota

Questa procedura richiede che il provisioning automatico sia stato precedentemente abilitato. Per ulteriori informazioni, consulta Come abilitare il provisioning automatico.

Per generare un nuovo token di accesso

1. Nella console IAM Identity Center, scegli Impostazioni nel riquadro di navigazione a sinistra.

2. Nella pagina Impostazioni, scegli la scheda Identity source, quindi scegli Azioni > Gestisci il provisioning.

3. Nella pagina Provisioning automatico, in Token di accesso, scegli Genera token.

4. Nella finestra di dialogo Genera nuovo token di accesso, copia il nuovo token di accesso e salvalo in un posto sicuro.

5. Scegli Chiudi.

Come eliminare un token di accesso

Utilizza la seguente procedura per eliminare un token di accesso esistente nella console IAM Identity Center.

Per eliminare un token di accesso esistente

1. Nella console IAM Identity Center, scegli Impostazioni nel riquadro di navigazione a sinistra.

2. Nella pagina Impostazioni, scegli la scheda Identity source, quindi scegli Azioni > Gestisci il provisioning.

3. Nella pagina Provisioning automatico, in Token di accesso, seleziona il token di accesso che desideri eliminare, quindi scegli Elimina.

4. Nella finestra di dialogo Elimina token di accesso, esaminate le informazioni, digitate DELETE, quindi scegliete Elimina token di accesso.

Come ruotare un token di accesso

Una directory IAM Identity Center supporta fino a due token di accesso alla volta. Per generare un token di accesso aggiuntivo prima di qualsiasi rotazione, elimina tutti i token di accesso scaduti o non utilizzati.

Se il token di accesso SCIM sta per scadere, puoi utilizzare la seguente procedura per ruotare un token di accesso esistente nella console IAM Identity Center.

Per ruotare un token di accesso

1. Nella console IAM Identity Center, scegli Impostazioni nel riquadro di navigazione a sinistra.

2. Nella pagina Impostazioni, scegli la scheda Identity source, quindi scegli Azioni > Gestisci il provisioning.

3. Nella pagina Provisioning automatico, in Token di accesso, prendi nota dell'ID del token che desideri ruotare.

4. Segui i passaggi indicati Come generare un nuovo token di accesso per creare un nuovo token. Se hai già creato il numero massimo di token di accesso SCIM, dovrai prima eliminare uno dei token esistenti.

5. Vai al sito web del tuo provider di identità e configura il nuovo token di accesso per il provisioning SCIM, quindi verifica la connettività a IAM Identity Center utilizzando il nuovo token di accesso SCIM. Dopo aver confermato che il provisioning funziona correttamente utilizzando il nuovo token, continua con il passaggio successivo di questa procedura.

6. Segui i passaggi indicati Come eliminare un token di accesso per eliminare il vecchio token di accesso annotato in precedenza. Puoi anche utilizzare la data di creazione del token come suggerimento su quale token rimuovere.