אפליקציית ענן של Amazon Web Services

לפני שמגדירים את ה-SSO, צריך ליצור מאפיין משתמש בהתאמה אישית.

1. במסוף Google Admin, לוחצים על סמל התפריט הארגון שלי משתמשים.

   לדף "משתמשים"

   נדרשת הרשאה מתאימה לניהול המשתמשים. אם אין לכם אותה, לא תראו את כל האפשרויות והכפתורים שבהוראות שכאן.

2. לוחצים על אפשרויות נוספות ניהול מאפיינים מותאמים אישית.
3. בחלק העליון, לוחצים על הוספת מאפיין מותאם אישית.
4. בקטע הוספת שדות בהתאמה אישית:
   1. בשדה קטגוריה, מזינים Amazon.
   2. בשדה תיאור, מזינים מאפיינים מותאמים אישית של אמזון.
   3. בשדה Name, מזינים Role.
   4. לוחצים על סוג המידע ובוחרים באפשרות טקסט.
   5. לוחצים על הרשאות גישה ובוחרים באפשרות גלויה למשתמש ולאדמין.
   6. לוחצים על מספר הערכים ובוחרים באפשרות ערכים מרובים.

5. לוחצים על הוספה.
   המאפיין המותאם אישית מופיע בקטע מאפיינים מותאמים אישית בדף ניהול מאפייני משתמשים.

1. במסוף Google Admin, נכנסים לתפריט אבטחה אימות SSO עם אפליקציות SAML.

   מעבר אל SSO עם אפליקציות SAML

   כדי לבצע את המשימה הזאת אתם צריכים להיות מחוברים לחשבון בתור סופר-אדמינים.

2. מורידים את המטא-נתונים של ספק הזהויות.
3. משאירים את מסוף Admin פתוח. אחרי שתבצעו את שלבי ההגדרה באפליקציה, תמשיכו את ההגדרה במסוף Admin.

1. פותחים חלון פרטי בדפדפן ונכנסים ל-AWS Management Console.
2. פותחים את מסוף IAM.
3. עוברים אל ספקי זהויות הוספת ספק.
4. לוחצים על Provider Type (סוג הספק) ובוחרים באפשרות SAML.
5. בשדה Provider Name (שם הספק), מזינים שם (לדוגמה, GoogleWorkspace).

   הערה: שם הספק לא יכול להכיל רווחים.

6. לוחצים על בחירת קובץ ובוחרים את קובץ המטא-נתונים שהורדתם בשלב 1.
7. לוחצים על הוספת ספק.

   בדף Identity Providers, שם הספק שהזנתם, למשל GoogleWorkspace, אמור להופיע ברשימת ספקי הזהויות.

8. לוחצים על Roles Create role Trusted entity type SAML 2.0 federation.
9. בקטע SAML 2.0 federation, בוחרים את השם של ספק ה-SAML שהוספתם קודם ובוחרים אפשרות גישה.
10. לוחצים על הבא.
11. בקטע Permissions policies, מחפשים ובוחרים כללי מדיניות כדי להעניק הרשאות למשתמשים שנכנסים ל-Amazon Web Services באמצעות SSO (לדוגמה, AdministratorAccess).
12. לוחצים על הבא.
13. בקטע Role details, מזינים Role name (לדוגמה, GoogleSSO).
14. לוחצים על יצירת תפקיד.
15. בדף Roles, מעתיקים ושומרים את ה-ARN של ספק הזהויות של שם התפקיד שיצרתם בשלב 12.
    הערך הזה נדרש כדי להגדיר את מאפיין המשתמש המותאם אישית של אמזון לכל משתמש בשלב 4.
16. לוחצים על שם התפקיד שיצרתם קודם.
17. בדף Summary, מעתיקים ושומרים את ה-ARN של התפקיד.
    הערך הזה נדרש כדי להגדיר את מאפיין המשתמש המותאם אישית של אמזון לכל משתמש בשלב 4.

1. במסוף Google Admin, נכנסים לתפריט אפליקציות אפליקציות לאינטרנט ולניידים.

   לדף "אפליקציות לאינטרנט ולניידים"

   כדי לבצע את המשימה הזאת אתם צריכים להיות מחוברים לחשבון בתור סופר-אדמינים.

2. לוחצים על הוספת אפליקציה חיפוש אפליקציות.
3. בקטע איך קוראים לאפליקציה? מזינים Amazon Web Services.
4. בתוצאות החיפוש, מצביעים על Amazon Web Services ולוחצים על בחירה.
5. בחלון פרטי ספק זהויות של Google, לוחצים על המשך.
   בדף פרטי ספק השירות, פרטי האפליקציה מוגדרים כברירת מחדל.
6. לוחצים על המשך.
7. בחלון מיפוי מאפיינים, לוחצים על בחירת שדה וממפים את המאפיינים הבאים של ספריית Google למאפיינים התואמים שלהם ב-Amazon Web Services. חובה להשתמש במאפיינים https://aws.amazon.com/SAML/Attributes/RoleSessionName ו-https://aws.amazon.com/SAML/Attributes/Role.

   מאפיין במאגר של Google	מאפיין של Amazon Web Services
   מידע בסיסי > כתובת אימייל ראשית	https://aws.amazon.com/SAML/Attributes/RoleSessionName
   Amazon > תפקיד*	https://aws.amazon.com/SAML/Attributes/Role

   ‫* המאפיין המותאם אישית שיצרתם בקטע "לפני שמתחילים".
8. (אופציונלי) כדי להוסיף עוד מיפויים, לוחצים על הוספת מיפוי ובוחרים את השדות שרוצים למפות.
9. (אופציונלי) אפשר להזין שמות של קבוצות שרלוונטיות לאפליקציה הזאת:
   1. בשביל חברות בקבוצה (אופציונלי), לוחצים על חיפוש של קבוצה, ואז מזינים אות אחת או יותר מהשם של הקבוצה ובוחרים את הקבוצה הרצויה.
   2. מוסיפים עוד קבוצות לפי הצורך (אפשר להוסיף עד 75 קבוצות).
   3. בשביל מאפיין אפליקציה, מזינים את שם המאפיין של הקבוצה הרלוונטית של ספק השירות.

   תגובת SAML תכלול רק קבוצות שמשתמש חבר בהן (באופן ישיר או עקיף), בלי קשר לכמות של שמות הקבוצות שמזינים. מידע נוסף זמין במאמר מידע על מיפוי של חברוּת בקבוצות.

10. לוחצים על סיום.

אפליקציית Amazon Web Services תומכת רק ב-SSO שיוזמים ספקי זהויות.

אימות SSO ביוזמת ספק הזהויות

לפני שמתחילים: חשוב לוודא שנכנסתם לחשבון שבו הגדרתם את Amazon Web Services.

1. במסוף Google Admin, נכנסים לתפריט אפליקציות אפליקציות לאינטרנט ולניידים.

   לדף "אפליקציות לאינטרנט ולניידים"

   כדי לבצע את המשימה הזאת אתם צריכים להיות מחוברים לחשבון בתור סופר-אדמינים.

2. לוחצים על Amazon Web Services.
3. בקטע Amazon Web Services, לוחצים על בדיקת התחברות ל-SAML.

   האפליקציה אמורה להיפתח בכרטיסייה נפרדת. אם לא, פותרים את הבעיה שמופיעה בהודעת השגיאה ומנסים שוב. פרטים על פתרון בעיות זמינים במאמר הודעות שגיאה באפליקציית SAML.

סופר-אדמינים יכולים להקצות הרשאות למשתמשים באפליקציה באופן ידני. למידע נוסף אפשר לעבור למאמר בנושא הגדרת הקצאת הרשאות ידנית למשתמשים ב-Amazon Web Services.