Bu görev için süper yönetici olarak oturum açmanız gerekir.
Güvenlik Onayı Biçimlendirme Dili (SAML) ile, kullanıcılarınız kurumsal bulut uygulamalarında oturum açmak için kendi Google Cloud kimlik bilgilerini kullanabilir.
Amazon Web Services için SAML üzerinden TOA ayarlarını yapma
Amazon Web Services uygulaması için SAML üzerinden tek oturum açma (TOA) hizmetini aşağıdaki yolla ayarlayabilirsiniz.
Başlamadan önceKullanıcı temel hazırlığını ayarlamadan önce Amazon Web Services için özel bir kullanıcı özelliği oluşturmanız gerekir. Aşağıdaki adımları uygulayın:
-
Google Yönetici konsolu hesabınızda oturum açın.
Süper yönetici ayrıcalıkları bulunan (@gmail.com ile bitmeyen) bir hesabı kullanarak oturum açın.
- Yönetici Konsolu'nda Menü
Dizin
Kullanıcılar'a gidin.
- Kullanıcılar listesinin üst tarafında, Diğer
- Sağ üstte, Özel Özellik Ekle'yi tıklayın.
- Özel özelliği aşağıdaki gibi yapılandırın:
- Kategori: Amazon
- Açıklama: Amazon Özel Özellikleri
Özel alanlar için aşağıdakileri girin:
- Ad: Rol
- Bilgi türü: Metin
- Görünürlük: Kullanıcı ve yönetici görebilir
- Değer sayısı: Birden çok değerli
- Ekle'yi tıklayın.
Yeni kategori, Kullanıcı özelliklerini yönetme sayfasında görünür.
-
Google Yönetici konsolu hesabınızda oturum açın.
Süper yönetici ayrıcalıkları bulunan (@gmail.com ile bitmeyen) bir hesabı kullanarak oturum açın.
-
Yönetici konsolunda Menü
Güvenlik
Bu görev için süper yönetici olarak oturum açmanız gerekir.
- IDP Meta Verilerini indirin.
Amazon Management Console'da bir sonraki adımı gerçekleştirdikten sonra TOA yapılandırmasına devam edeceğinizden, Yönetici konsolunu açık bırakın.
- Yeni bir tarayıcı sekmesinde, AWS Management Console'da (Yönetim Konsolu) oturum açın ve https://console.aws.amazon.com/iam/ adresinden IAM konsolunu açın.
- Gezinme bölmesinde Identity Providers (Kimlik Sağlayıcılar) > Create Provider (Sağlayıcı Oluştur) seçeneğini belirleyin.
- Provider Type (Sağlayıcı Türü) olarak SAML'yi seçin.
- GoogleWorkspace gibi bir Provider Name (Sağlayıcı Adı) girin.
- Choose File'ı (Dosya Seç) tıklayın ve yukarıdaki 1. adımda indirdiğiniz IDP meta veri dosyasını seçin.
- Continue Step (Adıma Devam Et) ve sonra Create'i (Oluştur) tıklayın.
Identity Providers (Kimlik Sağlayıcılar) sayfasındaki IdP'ler tablosunda GoogleWorkspace gösterilir.
- Sol kenar çubuğunda Roles (Roller) > Create a New Role'u (Yeni Rol Oluştur) tıklayın.
- Set role name (Rol adını seç) altında bir Role Name (Rol Adı) girin.
- Continue Step'i (Adıma Devam Et) tıklayın.
- Choose Role Type (Rol Türü Seçin) sayfasında, Role for Identity Provider Access (Kimlik Sağlayıcı Erişimi için Rol) altında, Grant Web Single Sign-On (WebSSO) access to SAML Providers (SAML Sağlayıcılara Web Tek Oturum Açma (WebTOA) erişimi ver) seçeneğini belirleyin.
- Continue Step'i (Adıma Devam Et) tıklayın.
- Establish trust (Güven düzeyi ayarla) sayfasında, varsayılan ayarları değiştirmeyin ve Next Step'i (Sonraki Adım) tıklayın.
- AWS'ye Google TOA üzerinden giriş yapan kullanıcılara izin vermek için politikaları seçin. Örnek: AdministratorAccess.
- Continue Step'i (Adıma Devam Et) tıklayın.
- Sonraki sayfada, AWS Hesap Kimliğinizi ve rol adını içeren Role ARN (Rol ARN'si) değerini kopyalayıp kaydedin. Bu değer, aşağıdaki 4. Adımda her kullanıcı için özel Amazon kullanıcı özelliğini yapılandırmak için gereklidir.
Örnek: arn:aws:iam::ACCOUNT_NUMBER:role/SSO
- Create the Role (Rolü Oluştur) seçeneğini tıklayın.
- Kimlik sağlayıcılar listesinden Google hizmetinizi seçin ve Provider ARN (Sağlayıcı ARN'si) değerini kopyalayıp kaydedin. AWS Hesap Kimliğinizi ve sağlayıcının adını içerir. Bu değer, aşağıdaki 4. Adımda her kullanıcı için özel Amazon kullanıcı özelliğini yapılandırmak için gereklidir.
Örnek: arn:aws:iam::ACCOUNT_NUMBER:saml-provider/GoogleWorkspace.
- Birleşik Web tek oturum açma yapılandırma ayrıntılarını kaydetmek için Save'i (Kaydet) tıklayın.
- Yönetici Konsolu'nun açık olduğu tarayıcı sekmesine dönün.
-
Yönetici Konsolu'nda Menü
Uygulamalar
- Arama alanına Amazon Web Services yazın.
- Arama sonuçlarında, fareyle Amazon Web Services SAML uygulamasının üzerine gelip Seç'i tıklayın.
- Google Kimlik Sağlayıcı ayrıntıları sayfasında Devam'ı tıklayın.
Servis sağlayıcı ayrıntıları sayfasında, Amazon Web Services için ACS URL'si ve Varlık Kimliği değerleri varsayılan olarak yapılandırılmıştır.
- Devam'ı tıklayın.
- Özellik Eşlemesi sayfasında, Alan seç menüsünü tıklayın ve aşağıdaki Google dizini özelliklerini karşılık gelen Amazon Web Services özellikleriyle eşleyin:
Google dizini özelliği Amazon Web Services özelliği Temel Bilgiler > Birincil E-posta https://aws.amazon.com/SAML/Attributes/RoleSessionName Amazon > Role* https://aws.amazon.com/SAML/Attributes/Role (*) Yukarıdaki Başlamadan önce bölümünde oluşturulan özel özellik.
-
(İsteğe bağlı) Bu uygulamayla alakalı grup adlarını girmek için:
- Grup üyeliği (isteğe bağlı) için Grup arayın'ı tıklayın, grup adının bir veya daha fazla harfini girin ve grup adını seçin.
- Gerekirse başka gruplar ekleyin (en fazla 75 grup).
- Uygulama özelliği bölümünde, servis sağlayıcının ilgili grup özelliği adını girin.
Kaç grup adı girdiğinize bakılmaksızın SAML yanıtı yalnızca kullanıcının üyesi olduğu grupları (doğrudan veya dolaylı olarak) içerir. Daha fazla bilgi için Grup üyeliğini eşleme hakkında başlıklı makaleyi inceleyin.
- Son'u tıklayın.
-
Google Yönetici konsolu hesabınızda oturum açın.
Süper yönetici ayrıcalıkları bulunan (@gmail.com ile bitmeyen) bir hesabı kullanarak oturum açın.
-
Yönetici Konsolu'nda Menü
- Amazon Web Services seçeneğini belirleyin.
-
Kullanıcı erişimi'ni tıklayın.
-
Bir hizmeti kuruluşunuzdaki herkes için etkinleştirmek veya devre dışı bırakmak istiyorsanız önce Herkes için etkin veya Herkes için devre dışı'yı, ardından Kaydet'i tıklayın.
-
(İsteğe bağlı) Kuruluş birimi için bir hizmeti etkinleştirmek veya devre dışı bırakmak üzere:
- Solda, kuruluş birimini seçin.
- Hizmet durumunu değiştirmek için Açık veya Kapalı'yı seçin.
- Aşağıdakilerden birini seçin:
- Hizmet durumu Devralındı olarak ayarlanmışsa ve üst kuruluştaki ayar değişse bile güncellenmiş ayarı korumak istiyorsanız Geçersiz kıl'ı tıklayın.
- Hizmet durumu Geçersiz kılındı olarak ayarlanmışsa üst kuruluştaki ayara geri döndürmek için Devral'ı, üst kuruluştaki ayar değişse bile yeni ayarı korumak içinse Kaydet'i tıklayın.
Not: Kuruluş yapısı hakkında daha fazla bilgi edinin.
-
Bir hizmeti farklı kuruluş birimlerindeki veya bir kuruluş birimindeki bir grup kullanıcı için etkinleştirmek üzere bir erişim grubu seçin. Ayrıntıları, bir grup için hizmeti etkinleştirme bölümünde bulabilirsiniz.
- Amazon Web Services kullanıcı hesabı e-posta kimliklerinin Google alanındakilerle eşleştiğinden emin olun.
- TOA aracılığıyla AWS'de oturum açan her kullanıcı için Başlamadan önce bölümünde oluşturduğunuz özel kullanıcı özelliğini yapılandırın:
- Kullanıcının hesap sayfasında Kullanıcı bilgileri'ni tıklayın.
- Amazon özel özelliğini tıklayın.
- Rol alanına AWS Rol ARN'sini ve Sağlayıcı ARN'sini (yukarıdaki 2. Adımda kopyalanmış) aşağıdaki gibi virgülle ayırarak ekleyin:
arn:aws:iam::ACCOUNT_NUMBER:role/SSO,arn:aws:iam::ACCOUNT_NUMBER:provider/GoogleWorkspace
- Kaydet'i tıklayın.
Not: Amazon Web Services'ı yapılandırdığınız hesapta oturumunuzun hâlâ açık olduğundan emin olun.
-
Google Yönetici konsolu hesabınızda oturum açın.
Süper yönetici ayrıcalıkları bulunan (@gmail.com ile bitmeyen) bir hesabı kullanarak oturum açın.
-
Yönetici Konsolu'nda Menü
- Amazon Web Services seçeneğini belirleyin.
- Sol üstte, Test SAML login (SAML girişini test et) seçeneğini tıklayın.
Amazon Web Services ayrı bir sekmede açılır. Açılmazsa IdP ve SS ayarlarınızı gerektiği şekilde güncellemek için, sonuçta ortaya çıkan SAML hata mesajlarındaki bilgileri kullanın ve SAML girişini yeniden test edin.
Amazon Web Services için kullanıcı temel hazırlık ayarlarını yapmanız gerekmez.
AWS, SAML 2.0 IdP (Kimlik Sağlayıcı) ile kimliği doğrulanmış tüm federasyon kullanıcılarına yönelik rol tabanlı girişleri destekler. https://aws.amazon.com/SAML/Attributes/Role özellik değerini Amazon Web Services hesabına karşılık gelen özel bir özellikle eşleyerek rolü belirtin. Yukarıdaki 3. Adıma bakın.
Bu rol eşlemesini oluşturduktan sonra, kendileri için SAML TOA etkin olan kullanıcılarınız, AWS Management Console'da, belirtilen AWS Identity and Access Management (IAS) rolüyle oturum açabilir (Management Console'da ilgili IAM kullanıcılarını oluşturmanıza gerek yoktur).
AWS rol eşlemesi hakkında daha ayrıntılı bilgi için AWS dokümanlarına göz atın.
Google, Google Workspace ve ilgili markalarla logolar Google LLC'nin ticari markalarıdır. Diğer tüm şirket ve ürün adları, ilişkili oldukları şirketlerin ticari markalarıdır.