이루고 싶은 일

G Suite를 통해 관리되는 사용자 계정을 AWS 콘솔에 대한 로그인 사용자와 공동 작업하고자 함

단계 설정

나는 대체로 다음과 같은 절차로 나누고 싶다.
1. 사용자 관리를 통해 G Suite에서 사용자 정의 속성 만들기
2. G Suite에서 Amazon 웹 서비스 클라우드 어플리케이션 만들기
3. AWS 관리 콘솔을 통해 ID 공급자 만들기
4. AWS 관리 콘솔에 할당된 역할 만들기
5. G Suite에 SAML 설정 정보 추가

사용자 정의 속성 만들기

Google Admin에 로그인합니다.

사용자를 선택합니다.

화면 오른쪽 위에 있는 [사용자 속성 관리] 클릭

클릭하여 사용자 정의 클래스 추가

여기서 사용자 정의 속성을 사용하여 AWS에 전달되는SAML의 정보를 만듭니다.

클릭

[클래스 추가]AWS 계정 캐릭터 속성 만들기

다음 속성을 만듭니다.
속성 이름
타입
다중 값
한정 공개
role
텍스트
예, 그렇습니다.
예, 그렇습니다.
SessionDuration
정수
아니오.
예, 그렇습니다.

[완료]를 클릭합니다.

미리 설정된 Amazon 웹 서비스 클라우드 응용 프로그램에서 GSuite를SAML ID 공급자로 선택하기(idp)

Google Admin에 권한이 있는 관리자로 로그인합니다.

[적용][SAML 적용]을 클릭합니다.

아래의 더하기 기호(+) 아이콘을 클릭합니다.

목록에서 [Amazon 웹 서비스] 항목을 선택합니다.

Google Idp 정보 페이지에서 X.509 인증서 및 IDP 메타데이터를 다운로드합니다.

[기본 응용 프로그램 정보] 윈도우의 [응용 프로그램 이름] 및 [설명] 값을 입력합니다.

[다음]을 클릭합니다.

[서비스 제공자 상세 정보]의 [실체 ID], [ACS의 URL], [시작 URL] 열에 다음을 입력합니다.

ACS의 URL: https://signin.aws.amazon.com/saml

솔리드 ID: https://signin.aws.amazon.com/saml

URL 시작: <공백>

[서명 응답] 확인란을 닫습니다.

[이름 ID]의 기본값은 메일 주소입니다.전자 메일 주소를 사용합니다.

[다음]을 클릭합니다.

[새 매핑 추가]를 클릭하여 다음 속성 값을 설정합니다.

https://aws.amazon.com/SAML/Attributes/RoleSessionName

[기본 정보] 설정 [기본 메일 주소]

https://aws.amazon.com/SAML/Attributes/Role

사용자 정의 속성 지정 [AWS 계정 역할]role

여러 개의 값을 사용하여 여러 개의 계정을 설정할 수 있습니다.

SessionDuration

콘솔 세션의 Timeout 값(초)을 설정합니다.MAX12h.

[완료]를 클릭합니다.

AWS 측면 설정

ID 공급자 만들기

AWS 콘솔에 로그인합니다.

[IAM][공급자]에서 [공급자 만들기]를 클릭합니다.

SAML 공급자 유형을 선택하고 공급자 이름을 입력합니다.

메타데이터 문서 1.5에서 다운로드한 메타데이터를 계속하십시오.

[만들기] 버튼을 클릭하여 만듭니다.

공급업체의 개요를 통해 공급업체의 ARN을 미리 기억합니다.

역할 작성

필요한 권한을 가진 캐릭터를 만듭니다.

AdministratorAccess 권한이 있는 역할을 먼저 만듭니다.

볼륨 개요에서 볼륨 ARN을 미리 기억합니다.

G Suite 사용자 구성

사용자 목록에서 설정할 사용자를 클릭하여 자세한 내용을 표시합니다.

사용자 속성 편집을 클릭합니다.

Role 막대에 <스크롤 ARN>, <공급자 ARN>

입력

SessionDreation 지정 제한 시간(초)을 지정합니다.

6. 사용자 업데이트를 클릭하여 설정을 반영합니다.

G Suite용 Amazon 웹 서비스 애플리케이션 설정

[적용][SAML 적용]을 클릭합니다.

활성화할 응용 프로그램의 오른쪽 메뉴에서 열립니다.

화면 오른쪽 위에 있는 Google 애플리케이션에서 자세히 보기를 클릭하고 AWS 애플리케이션을 클릭하여 AWS 콘솔에 로그인할 수 있는지 확인합니다.

위의 절차에 따라 각각 AWS에서 IAM 사용자를 제작하여 관리할 필요가 없습니다.
필요에 따라 여러 개의 권한 캐릭터를 제작한다.
Gsuite의 Idp 정보를 기재한 다운로드한 도움말과 달리 잠시 찾아봤는데...
앞으로도 양측의 관리 콘솔이 바뀔 수 있으니 적절히 교체해 주십시오.