1단계: 권한 설정

다음 단원에서 임베디드 Q 검색 창에 백엔드 애플리케이션 또는 웹 서버의 권한을 설정하는 방법을 알아봅니다. 이 작업을 수행하려면 AWS Identity and Access Management(IAM)에 대한 관리자 액세스 권한이 있어야 합니다.

대시보드에 액세스하는 각 사용자는 Amazon의 대시보드 QuickSight 액세스 및 권한을 부여하는 역할을 맡습니다. 이렇게 하려면 AWS 계정에서 IAM 역할을 생성합니다. IAM 정책을 역할과 연결하여 역할을 수행하는 사용자에게 권한을 제공합니다. IAM 역할은 특정 사용자 풀의 임베딩 URL을 검색할 수 있는 권한을 제공해야 합니다.

와일드카드 문자 *를 사용하여, 특정 네임스페이스의 모든 사용자에 대해 URL을 생성할 권한을 부여할 수 있습니다. 또는 특정 네임스페이스에 있는 사용자 하위 집합에 대해 URL을 생성할 권한을 부여할 수 있습니다. 이를 위해 quicksight:GenerateEmbedUrlForRegisteredUser을(를) 추가합니다.

IAM 정책에 개발자가 GenerateEmbedUrlForRegisteredUser API 작업의 AllowedDomains 파라미터에 나열할 수 있는 도메인을 제한하는 조건을 만들 수 있습니다. AllowedDomains 파라미터는 선택 파라미터입니다. 이를 통해 개발자에게는 관리 QuickSight 메뉴에 구성된 정적 도메인을 재정의하고 대신 생성된 URL에 액세스할 수 있는 도메인 또는 하위 도메인을 최대 3개까지 나열할 수 있는 옵션이 부여됩니다. 그러면 이 URL이 개발자 웹 사이트에 포함됩니다. 파라미터에 나열된 도메인만 임베디드 Q 검색 창에 액세스할 수 있습니다. 이 조건이 없으면, 개발자는 인터넷에 있는 모든 도메인을 AllowedDomains 파라미터에 나열할 수 있습니다.

개발자가 이 파라미터로 사용할 수 있는 도메인을 제한하려면 IAM 정책에 AllowedEmbeddingDomains 조건을 추가하세요. AllowedDomains파라미터에 대한 자세한 내용은 Amazon QuickSight API 참조를 참조하십시오 GenerateEmbedUrlForRegisteredUser.

다음 샘플 정책은 이러한 권한을 제공합니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "quicksight:GenerateEmbedUrlForRegisteredUser"
            ],
            "Resource": "arn:partition:quicksight:region:accountId:user/namespace/userName",
            "Condition": {
                "ForAllValues:StringEquals": {
                    "quicksight:AllowedEmbeddingDomains": [
                        "https://my.static.domain1.com",
                        "https://*.my.static.domain2.com"
                ]
            }
        }
        }
    ]
}

또한 Amazon QuickSight 독자가 될 처음 사용자를 생성하는 경우 정책에 quicksight:RegisterUser 권한을 추가해야 합니다.

다음 샘플 정책은 처음 읽는 사용자에게 내장 URL을 검색할 수 있는 권한을 제공합니다. QuickSight

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": "quicksight:RegisterUser",
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Effect": "Allow",
            "Action": [
              "quicksight:GenerateEmbedUrlForRegisteredUser"
            ],
            "Resource": [
              "arn:partition:quicksight:region:accountId:user/namespace/userName"
            ],
            "Condition": {
                "ForAllValues:StringEquals": {
                    "quicksight:AllowedEmbeddingDomains": [
                        "https://my.static.domain1.com",
                        "https://*.my.static.domain2.com"
                ]
            }
        }
        }
    ]
}

마지막으로, 방금 생성한 역할에 액세스하려면 애플리케이션의 IAM 자격 증명에 신뢰 정책이 연결되어 있어야 합니다. 즉, 사용자가 애플리케이션에 액세스하면 애플리케이션이 사용자를 대신하여 역할을 수임하고 사용자에게 해당 역할을 제공할 수 있습니다. QuickSight

다음 예제는 샘플 신뢰 정책입니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowLambdaFunctionsToAssumeThisRole",
            "Effect": "Allow",
            "Principal": {
                "Service": "lambda.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        },
        {
            "Sid": "AllowEC2InstancesToAssumeThisRole",
            "Effect": "Allow",
            "Principal": {
                "Service": "ec2.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
} 

OpenID Connect 또는 Security Assertion Markup Language(SAML) 인증의 신뢰 정책에 대한 자세한 내용은, IAM 사용 설명서의 다음 단원을 참조하십시오.

• 웹 아이덴티티 또는 OpenID Connect 페더레이션을 위한 역할 생성(콘솔)

• SAML 2.0 페더레이션을 위한 역할 생성(콘솔)