Amazon Web Services-molnappen

Med SAML 2.0-standarden kan du konfigurera enkel inloggning (SSO) för ett antal molnappar. När du har konfigurerat SSO kan användarna logga in på en app med sina Google Workspace-uppgifter via SSO.

Konfigurera SSO för Amazon Web Services med SAML

Innan du börjar

Innan du konfigurerar enkel inloggning måste du skapa ett anpassat användarattribut.

  1. I Googles administratörskonsol går du till menyn följt av Katalog följt av Användare.

    Kräver lämplig behörighet för användarhantering. Utan rätt behörighet ser du inte alla de kontroller som behövs för att slutföra de här stegen.

  2. Klicka på Fler alternativ följt av Hantera anpassade attribut.
  3. Klicka på Lägg till anpassat attribut högst upp.
  4. I avsnittet Lägg till anpassade fält:
    1. Ange Amazon för Kategori.
    2. Ange Amazon Custom Attributes för Beskrivning.
    3. För Namn anger du Roll.
    4. Klicka på Informationstyp och välj Text.
    5. Klicka på Synlighet och välj Synlig för användare och administratör.
    6. Klicka på Antal värden och välj Flera värden.

  5. Klicka på Lägg till.
    Det anpassade attributet visas i avsnittet Anpassade attribut på sidan Hantera användarattribut.

Steg 1: Få information om Googles identitetsleverantör

  1. I Googles administratörskonsol går du till menyn följt av Säkerhet följt av Autentisering följt av SSO med SAML-appar.

    Du måste vara inloggad som avancerad administratör för den här uppgiften.

  2. Ladda ned identitetsleverantörens metadata.
  3. Låt administratörskonsolen vara öppen. Fortsätt med konfigurationen i administratörskonsolen när du har gått igenom konfigurationsstegen i appen.

Steg 2: Konfigurera Amazon-webbtjänster som en SAML 2.0-tjänstleverantör

  1. Öppna ett inkognitowebbläsarfönster och logga in på AWS Management Console.
  2. Öppna IAM-konsolen.
  3. Öppna Identitetsleverantörer följt av Lägg till leverantör.
  4. Klicka på Leverantörstyp och välj SAML.
  5. Ange ett namn för Leverantörsnamn (till exempel GoogleWorkspace).

    Obs! Leverantörsnamnet får inte innehålla blanksteg.

  6. Klicka på Välj fil och välj metadatafilen som du laddade ned i steg 1.
  7. Klicka på Lägg till leverantör.

    På sidan Identitetsleverantörer visas leverantörsnamnet du har angett, till exempel Google Workspace, i listan över identitetsleverantörer.

  8. Klicka på Roller följt av Skapa roll följt av Betrodd enhetstyp följt av SAML 2.0-federation.
  9. För SAML 2.0-federation väljer du namnet på SAML-leverantören som du lade till tidigare och väljer ett åtkomstalternativ.
  10. Klicka på Nästa.
  11. Sök efter och välj policyer för Behörighetspolicyer för att bevilja behörigheter till användare som loggar in på Amazon Web Services med SSO (till exempel AdministratorAccess).
  12. Klicka på Nästa.
  13. Ange ett Rollnamn (till exempel GoogleSSO) i avsnittet Rollinformation.
  14. Klicka på Skapa roll.
  15. På sidan Roller kopierar och sparar du identitetsleverantörens ARN för rollnamnet som du skapade i steg 12.
    Det här värdet krävs för att konfigurera det anpassade Amazon-användarattributet för varje användare i steg 4.
  16. Klicka på rollnamnet som du skapade tidigare.
  17. Kopiera och spara rollens ARN på sidan Summary.
    Det här värdet krävs för att konfigurera det anpassade Amazon-användarattributet för varje användare i steg 4.

Steg 3: Konfigurera Google som SAML-identitetsleverantör

  1. I Googles administratörskonsol går du till menyn följt av Appar följt av Webb- och mobilappar.

    Du måste vara inloggad som avancerad administratör för den här uppgiften.

  2. Klicka på Lägg till app följt av Sök efter appar.
  3. Ange Amazon Web Services för Ange appnamn.
  4. Peka på Amazon Web Services i sökresultaten och klicka på Välj.
  5. Klicka på Fortsätt i fönstret Information om Google-identitetsleverantör.
    På sidan Uppgifter om tjänsteleverantör är appuppgifterna konfigurerade som standard.
  6. Klicka på Fortsätt.
  7. I fönstret Attributmappning klickar du på Välj fält och mappar följande Google-katalogattribut till motsvarande Amazon Web Services-attribut. Attributen https://aws.amazon.com/SAML/Attributes/RoleSessionName och https://aws.amazon.com/SAML/Attributes/Role krävs.
    Google-katalogattribut Amazon Web Services-attribut
    Grundläggande information > Primär e-post https://aws.amazon.com/SAML/Attributes/RoleSessionName
    Amazon > Roll* https://aws.amazon.com/SAML/Attributes/Role
    * Det anpassade attribut som du skapade i avsnittet Innan du börjar.
  8. (Valfritt) Om du vill lägga till fler mappningar klickar du på Lägg till mappning och väljer de fält som du behöver mappa.
  9. (Valfritt) Så här anger du gruppnamn som är relevanta för appen:
    1. För Gruppmedlemskap (valfritt) klickar du på Sök efter en grupp, anger en eller flera bokstäver i gruppnamnet och väljer gruppnamnet.
    2. Lägg till ytterligare grupper efter behov (högst 75 grupper).
    3. För Appattribut anger du tjänsteleverantörens motsvarande gruppattributnamn.

    Oavsett hur många gruppnamn du anger inkluderar SAML-svaret enbart grupper som en användare är medlem i (direkt eller indirekt). Mer information finns i Om mappning av gruppmedlemskap.

  10. Klicka på Slutför.

Steg 4: Aktivera appen för användare

Innan du börjar: Gör så här om tjänsten ska aktiveras eller inaktiveras enbart för vissa användare: Samla kontona i en organisationsenhet (om du vill ställa in olika åtkomst per avdelning) eller i en åtkomstgrupp (om du vill ställa in olika åtkomst för grupper av användare på olika avdelningar, eller inom en avdelning).

  1. I Googles administratörskonsol går du till menyn följt av Appar följt av Webb- och mobilappar.

    Du måste vara inloggad som avancerad administratör för den här uppgiften.

  2. Klicka på Amazon Web Services.
  3. Klicka på Användaråtkomst.

  4. Om du vill aktivera eller inaktivera en tjänst för alla i organisationen klickar du på På för alla eller Av för alla och sedan på Spara.

  5. (Valfritt) Om du vill aktivera eller inaktivera en tjänst för en organisationsenhet:
    1. Välj organisationsenheten till vänster.
    2. Om du vill ändra tjänstens status väljer du På eller Av.
    3. Välj ett alternativ:
      • Om tjänstens status är inställd på Ärvd och du vill behålla den uppdaterade inställningen även om den överordnade inställningen ändras klickar du på Åsidosätt.
      • Om tjänstens status är Åsidosatt klickar du på Ärv för att återgå till samma inställning som dess överordnande, eller klickar du på Spara för att behålla den nya inställningen, även om den överordnade inställningen ändras.

        Läs mer om organisationsstrukturen.

  6. (Valfritt) Om du vill aktivera en tjänst för en grupp av användare inom en organisationsenhet eller i olika organisationsenheter väljer du en åtkomstgrupp. Mer information finns i Anpassa tjänståtkomst med åtkomstgrupper.
  7. Kontrollera att Amazon Web Services-användarkontots e-postdomäner matchar den primära domänen för organisationens hanterade Google-konto.
  8. Konfigurera det anpassade användarattribut som du skapade tidigare för varje användare som loggar in på Amazon Web Services med SSO:
    1. Klicka på Användarinformation följt av det anpassade Amazon-attributet på användarens kontosida.
    2. För Roll anger du Roll-ARN och Identitetsleverantör-ARN som du kopierade i steg 2, avgränsade med ett kommatecken. Exempel:

      arn:aws:iam::ACCOUNT_NUMBER:role/GoogleSSO,arn:aws:iam::ACCOUNT_NUMBER:provider/GoogleWorkspace

    3. Klicka på Spara.

Steg 5: Verifiera att SSO fungerar

Amazon Web Services har endast stöd för SSO som initieras av identitetsleverantörer.

Verifiera SSO som initieras av identitetsleverantör

Innan du börjar: Kontrollera att du är inloggad på det konto där du konfigurerade Amazon Web Services.

  1. I Googles administratörskonsol går du till menyn följt av Appar följt av Webb- och mobilappar.

    Du måste vara inloggad som avancerad administratör för den här uppgiften.

  2. Klicka på Amazon Web Services.
  3. I avsnittet Amazon Web Services klickar du på Testa SAML-inloggning.

    Appen öppnas på en separat flik. Om den inte öppnas felsöker du felmeddelandet och försöker igen. Mer information om felsökning finns i Felmeddelanden för SAML-appar.

Steg 6: Konfigurera användaradministration

Som avancerad administratör kan du automatiskt administrera användare i appen. Mer information finns i Konfigurera Amazon Web Services-användaradministration.


Google, Google Workspace och tillhörande märken och logotyper är varumärken som tillhör Google LLC. Alla andra företags- och produktnamn är varumärken som tillhör de företag som de är kopplade till.