Microsoft Entra ID ile çoklu oturum açma için AWS Single-Account Erişimini yapılandırma

Bu makalede AWS Single-Account Access'i Microsoft Entra Id ile tümleştirmeyi öğreneceksiniz. AWS Tek Hesap Erişimi'ni Microsoft Entra Id ile tümleştirdiğinizde şunları yapabilirsiniz:

• AWS Tek Hesap Erişimine kimlerin erişimi olduğunu Microsoft Entra Id'de kontrol edin.
• Kullanıcılarınızın Microsoft Entra hesaplarıyla AWS Tek Hesap Erişimi'nde otomatik olarak oturum açmasını sağlayın.
• Hesaplarınızı tek bir merkezi konumda yönetin.

Microsoft Entra uygulama galerisindeki farklı AWS uygulamalarını anlama

Microsoft Entra uygulama galerisinde AWS Çoklu Oturum Açma ve AWS Tek Hesap Erişimi uygulamalarını kullanma arasında bir karar vermek için aşağıdaki bilgileri kullanın.

AWS Çoklu Oturum Açma

AWS Çoklu Oturum Açma , Microsoft Entra uygulama galerisine Şubat 2021'de eklendi. Microsoft Entra Id aracılığıyla oturum açarak birden çok AWS hesabına ve AWS uygulamasına erişimi merkezi olarak yönetmeyi kolaylaştırır. Microsoft Entra ID'yi AWS SSO ile bir kez federasyona ekleyin ve AWS SSO'nun tüm AWS hesaplarınızın izinlerini tek bir yerden yönetmek için kullanın. AWS SSO, ilkeleri ve erişim atamalarını güncelleştirdikçe izinleri otomatik olarak sağlar ve güncel tutar. Son kullanıcılar AWS Konsolu, Komut Satırı Arabirimi ve AWS SSO tümleşik uygulamalarına erişmek için Microsoft Entra kimlik bilgileriyle kimlik doğrulaması yapabilir.

AWS Tek Hesap erişimi

AWS Tek Hesap Erişimi , müşteriler tarafından son birkaç yılda kullanılmıştır ve Microsoft Entra Id'yi tek bir AWS hesabına federasyona bağlamanıza ve AWS IAM rollerine erişimi yönetmek için Microsoft Entra Id'yi kullanmanıza olanak tanır. AWS IAM yöneticileri her AWS hesabında rol ve ilke tanımlar. Her AWS hesabı için Microsoft Entra yöneticileri AWS IAM'ye federasyon oluşturur, hesaba kullanıcı veya grup atar ve rol erişimini yetkilendire onaylar göndermek için Microsoft Entra Id'yi yapılandırabilir.

Özellik	AWS Çoklu Oturum Açma	AWS Tek Hesap erişimi
Koşullu Erişim	Tüm AWS hesapları için tek bir Koşullu Erişim ilkesini destekler.	Tüm hesaplar veya hesap başına özel ilkeler için tek bir Koşullu Erişim ilkesini destekler
CLI erişimi	Desteklenir	Desteklenir
Ayrıcalıklı Kimlik Yönetimi	Destekleniyor	Desteklenmez
Hesap yönetimini merkezileştirme	AWS'de hesap yönetimini merkezileştirin.	Microsoft Entra Id'de hesap yönetimini merkezi hale getir (büyük olasılıkla hesap başına bir Microsoft Entra kurumsal uygulaması gerektirir).
SAML sertifikası	Tek sertifika	Uygulama/hesap başına ayrı sertifikalar

AWS Tek Hesaplı Erişim mimarisi

Birden çok örnek için birden çok tanımlayıcı yapılandırabilirsiniz. Örneğin:

• https://signin.aws.amazon.com/saml#1

• https://signin.aws.amazon.com/saml#2

Bu değerlerle, Microsoft Entra ID değerini #kaldırır ve SAML belirtecinde hedef kitle URL'si olarak doğru değeri https://signin.aws.amazon.com/saml gönderir.

Aşağıdaki nedenlerden dolayı bu yaklaşımı öneririz:

• Her uygulama size benzersiz bir X509 sertifikası sağlar. Her AWS uygulama örneği, ayrı bir AWS hesabı bazında yönetilebilen farklı bir sertifika geçerlilik tarihine sahip olabilir. Bu durumda genel sertifika geçişi daha kolaydır.

• Microsoft Entra ID'de bir AWS uygulamasıyla kullanıcı sağlamayı etkinleştirebilirsiniz ve hizmetimiz tüm rolleri bu AWS hesabından getirir. Uygulamada AWS rollerini el ile eklemeniz veya güncelleştirmeniz gerekmez.

• Uygulama sahibini uygulama için tek tek atayabilirsiniz. Bu kişi uygulamayı doğrudan Microsoft Entra Id'de yönetebilir.

Notu

Yalnızca galeri uygulaması kullandığınızdan emin olun.

Önkoşullar

Başlamak için aşağıdaki öğelere ihtiyacınız vardır:

• Microsoft Entra aboneliği. Aboneliğiniz yoksa ücretsiz bir hesap alabilirsiniz.
• AWS IAM IdP özellikli bir abonelik.
• Uygulama Yöneticisi, Bulut Uygulama Yöneticisi ile birlikte Microsoft Entra Id'de uygulama ekleyebilir veya yönetebilir. Daha fazla bilgi için bkz. Azure yerleşik rolleri.

Notu

Rol aktarımı sırasında, roller Microsoft Entra ID'de el ile düzenlenmemelidir.

Senaryo açıklaması

Bu makalede Microsoft Entra SSO'larını bir test ortamında yapılandırıp test edebilirsiniz.

• AWS Tek Hesap Erişimi, SP ve IDP tarafından başlatılan SSO'ları destekler.

Notu

Bu uygulamanın tanımlayıcısı sabit bir dize değeridir, bu nedenle tek bir kiracıda yalnızca bir örnek yapılandırılabilir.

Galeriden AWS Tek Hesap Erişimi ekleme

AWS Tek Hesap Erişimi'nin Microsoft Entra Id ile tümleştirilmesini yapılandırmak için galeriden yönetilen SaaS uygulamaları listenize AWS Tek Hesap Erişimi eklemeniz gerekir.

1. Bulut Uygulaması Yöneticisi olarak en az Microsoft Entra yönetim merkezinde oturum açın.
2. Entra ID>Kurumsal uygulamalar>Yeni uygulama'ya göz atın.
3. Galeriden ekle bölümünde, arama kutusuna AWS Tek Hesap Erişimi yazın.
4. Sonuçlar panelinden AWS Tek Hesap Erişimi'ni seçin ve uygulamayı ekleyin. Uygulama kiracınıza eklenirken birkaç saniye bekleyin.

Alternatif olarak, Kurumsal Uygulama Yapılandırması Sihirbazı'nı da kullanabilirsiniz. Bu sihirbazda, kiracınıza bir uygulama ekleyebilir, uygulamaya kullanıcı/grup ekleyebilir, roller atayabilir ve SSO yapılandırmasında da gezinebilirsiniz. Microsoft 365 sihirbazları hakkında daha fazla bilgi edinebilirsiniz burada.

AWS Tek Hesap Erişimi için Microsoft Entra SSO yapılandırma ve test

B.Simon adlı bir test kullanıcısını kullanarak AWS Tek Hesap Erişimi ile Microsoft Entra SSO'yi yapılandırın ve test edin. SSO'nun çalışması için Bir Microsoft Entra kullanıcısı ile AWS Tek Hesap Erişimi'ndeki ilgili kullanıcı arasında bir bağlantı ilişkisi kurmanız gerekir.

AWS Tek Hesap Erişimi ile Microsoft Entra SSO'yı yapılandırmak ve test etmek için aşağıdaki adımları gerçekleştirin:

1. Kullanıcılarınızın bu özelliği kullanmasını sağlamak için Microsoft Entra SSO'sını yapılandırın.
   1. B.Simon ile Microsoft Entra çoklu oturum açmayı test etmek için bir Microsoft Entra test kullanıcısı oluşturun.
   2. B.Simon'un Microsoft Entra çoklu oturum açma özelliğini kullanmasını sağlamak için Microsoft Entra test kullanıcısını atayın.
2. Uygulama tarafında çoklu oturum açma ayarlarını yapılandırmak için AWS Tek Hesap Erişimi SSO'sunu yapılandırın.
   1. AWS Single-Account Access test kullanıcısı oluşturun ; AWS Single-Account Access'te kullanıcının Microsoft Entra gösterimine bağlı bir B.Simon'a sahip olun.
   2. AWS Tek Hesap Erişiminde rol sağlamayı yapılandırma
3. Yapılandırmanın çalışıp çalışmadığını doğrulamak için SSO test edin.

Microsoft Entra SSO'sını yapılandırma

Microsoft Entra SSO'nun etkinleştirilmesi için bu adımları izleyin.

1. Bulut Uygulaması Yöneticisi olarak en az Microsoft Entra yönetim merkezinde oturum açın.

2. Entra ID>Enterprise apps>AWS Single-Account Access>Tek oturum açma kısmına göz atın.

3. Çoklu oturum açma yöntemi seçin sayfasında SAML'yi seçin.

4. SamL ile çoklu oturum açmayı ayarla sayfasında, ayarları düzenlemek için Temel SAML Yapılandırması'nın kalem simgesini seçin.

   

5. Temel SAML Yapılandırması bölümünde, hem Tanımlayıcı (Varlık Kimliği) hem de Yanıt URL'sini doğru değerlerle güncelleştirin. Yapılandırma değişikliklerini kaydetmek için Kaydet'i seçmeniz gerekir.

Notu

AWS uygulamalarının birden çok örneğini yapılandırıyorsanız Yanıt URL'si değerine #1 veya #2 gibi sonekleri eklemeyin. Doğru Yanıt URL'si değeri için AWS belgelerine bakın.

1. AWS uygulaması SAML onaylarını belirli bir biçimde bekler ve bu da SAML belirteç öznitelikleri yapılandırmanıza özel öznitelik eşlemeleri eklemenizi gerektirir. Aşağıdaki ekran görüntüsünde varsayılan özniteliklerin listesi gösterilmektedir.

   

2. Aws uygulaması yukarıdakilere ek olarak aşağıda gösterilen SAML yanıtında birkaç özniteliğin daha geri geçirilmesini bekler. Bu öznitelikler de önceden doldurulmuş olsa da gereksinimlerinize göre bunları gözden geçirebilirsiniz.

   İsim	Kaynak özniteliği	Ad Alanı (Namespace)
   RolOturumAdı	kullanıcı.kullanıcıtemeladı	https://aws.amazon.com/SAML/Attributes
   Rol	user.assignedroles	https://aws.amazon.com/SAML/Attributes
   Oturum Süresi	kullanıcı.oturum süresi	https://aws.amazon.com/SAML/Attributes

   Notu

   AWS, bir uygulamaya atanan kullanıcılar için roller bekler. Kullanıcılara uygun rollerin atanabilmesi için lütfen bu rolleri Microsoft Entra Id'de ayarlayın. Microsoft Entra Id'de rolleri yapılandırmayı anlamak için buraya bakın

3. SAML ile çoklu oturum açmayı ayarla sayfasında, SAML İmzalama Sertifikası (3. Adım) iletişim kutusunda Sertifika ekle'yi seçin.

   

4. Yeni bir SAML imzalama sertifikası oluşturun ve ardından Yeni Sertifika'yı seçin. Sertifika bildirimleri için bir e-posta adresi girin.

   

5. (İsteğe bağlı) Sertifikayı etkin yap'ı seçebilirsiniz.

6. SAML İmzalama Sertifikası bölümünde Federasyon Meta Verileri XML'sini bulun ve İndir'i seçerek sertifikayı indirip bilgisayarınıza kaydedin.

7. AWS Tek Hesap Erişimini Ayarlama bölümünde, gereksinimlerinize göre uygun URL'leri kopyalayın.

   

Microsoft Entra test kullanıcısı oluşturma ve atama

B.Simon adlı bir test kullanıcısı hesabı oluşturmak için kullanıcı hesabı oluşturma ve atama hızlı başlangıçtaki yönergeleri izleyin.

AWS Tek Hesap Erişimi SSO'sını yapılandırma

1. Farklı bir tarayıcı penceresinde AWS şirket sitenizde yönetici olarak oturum açın.

2. AWS giriş sayfasında IAM araması yapın ve seçin.

   

3. Erişim yönetimi>Kimlik Sağlayıcıları'na gidin ve Sağlayıcı ekle düğmesini seçin.

   

4. Kimlik sağlayıcısı ekle sayfasında aşağıdaki adımları gerçekleştirin:

   

   a. Sağlayıcı türü için SAML'yi seçin.

   b. Sağlayıcı adı için bir sağlayıcı adı yazın (örneğin: WAAD).

   ç. İndirilen meta veri dosyanızı karşıya yüklemek için Dosya seç'i seçin.

   ö. Sağlayıcı ekle'yi seçin.

5. Roller>Rol oluştur öğesini seçin.

   

6. Rol oluştur sayfasında aşağıdaki adımları gerçekleştirin:

   

   a. Güvenilir varlık türü'nü seçin, SAML 2.0 federasyonu'nı seçin.

   b. SAML 2.0 tabanlı sağlayıcı altında, daha önce oluşturduğunuz SAML sağlayıcısınıseçin (örneğin: WAAD).

   ç. Programlı erişime ve AWS Yönetim Konsolu erişimine izin ver'i seçin.

   ö. İleri'yi seçin.

7. İzin ilkeleri iletişim kutusunda, kuruluşunuza göre uygun ilkeyi ekleyin. Sonra İleri'yi seçin.

   

8. Gözden Geçir iletişim kutusunda aşağıdaki adımları gerçekleştirin:

   

   a. Rol adı alanına rol adınızı girin.

   b. Açıklama alanına rol açıklamasını girin.

   ç. Rol oluştur öğesini seçin.

   ö. Gerektiği kadar rol oluşturun ve bunları kimlik sağlayıcısına eşleyin.

9. Microsoft Entra kullanıcı sağlama işlemi için AWS hesabındaki rolleri almak üzere AWS hizmet hesabı kimlik bilgilerini kullanın. Bunun için AWS konsol giriş sayfası'nı açın.

10. IAM bölümünde Politikalar'ı ve ardından Politika oluştur'u seçin.

    

11. AWS hesaplarından tüm rolleri getirmek için kendi ilkenizi oluşturun.

    

    a. İlke oluştur'da JSON sekmesini seçin.

    b. İlke belgesine aşağıdaki JSON'u ekleyin:

    {
        "Version": "2012-10-17",
        "Statement": [
            {
                "Effect": "Allow",
                "Action": [
                "iam:ListRoles"
                ],
                "Resource": "*"
            }
        ]
    }
    

    ç. İleri: Etiketler'i seçin.

12. Ayrıca aşağıdaki sayfaya gerekli etiketleri ekleyebilir ve İleri: Gözden Geçir'i seçebilirsiniz.

    

13. Yeni ilkeyi tanımlayın.

    a. Ad içinAzureAD_SSOUserRole_Policy girin.

    b. Açıklama alanına Bu ilke AWS hesaplarından rolleri almaya izin verecek yazın.

    ç. İlke oluştur'u seçin.

14. AWS IAM hizmetinde yeni bir kullanıcı hesabı oluşturun. a. AWS IAM konsolunda Kullanıcılar'ı ve ardından Kullanıcı ekle'yi seçin.

    

    b. Kullanıcı ayrıntılarını belirtin bölümünde kullanıcı adını AzureADRoleManager olarak girin ve İleri'yi seçin.

    

    ç. Bu kullanıcı için yeni bir ilke oluşturun.

    

    ö. Mevcut ilkeleri doğrudan ekle'yi seçin.

    e. yeni oluşturulan ilkeyi AzureAD_SSOUserRole_Policy filtre bölümünde arayın.

    f. İlkeyi seçin ve ardından İleri'yi seçin.

15. Seçimlerinizi gözden geçirin ve Kullanıcı oluştur'u seçin.

    Notu

    Bu kullanıcı için üçüncü taraf erişim anahtarını oluşturduğunuzdan ve indirdiğinizden emin olun. Bu anahtar, rolleri AWS konsolundan getirmek için Microsoft Entra kullanıcı sağlama bölümünde kullanılır.

16. Kullanıcının kullanıcı kimlik bilgilerini indirmek için Güvenlik kimlik bilgileri sekmesinde konsol erişimini etkinleştirin.

17. Rolleri AWS konsolundan getirmek için bu kimlik bilgilerini Microsoft Entra kullanıcı sağlama bölümüne girin.

Notu

AWS,AWS SSO'nun yapılandırılması için bir dizi izin/sınıra sahiptir. AWS sınırları hakkında daha fazla bilgi edinmek için lütfen bu sayfaya bakın.

AWS Tek Hesap Erişiminde rol sağlamayı yapılandırma

1. Microsoft Entra yönetim portalının AWS uygulamasında Sağlama'ya gidin.

   

Not: Konsol erişimini etkinleştirirken döndürülen kullanıcı adı ve parola, clientsecret ve Gizli Anahtar Belirteci değerleri için gerekli değildir. Bunun yerine, bu adım için bir üçüncü taraf erişim anahtarı oluşturun.

2. Erişim anahtarını ve gizli anahtarı sırasıyla clientsecret ve Secret Token alanlarına girin.

   

   a. clientsecret alanına AWS kullanıcı erişim anahtarını girin.

   b. Secret Token alanına AWS kullanıcı gizli dizisini girin.

   ç. Bağlantıyı Sına'yı seçin.

   ö. Kaydet'i seçerek ayarı kaydedin.

3. Ayarlar bölümünde Sağlama Durumu için Açık'ı seçin. Ardından Kaydet'i seçin.

   

Notu

Sağlama hizmeti rolleri yalnızca AWS'den Microsoft Entra Id'ye aktarır. Hizmet, Microsoft Entra Id'den AWS'ye kullanıcı ve grup sağlamaz.

Notu

Sağlama kimlik bilgilerini kaydettikten sonra ilk eşitleme döngüsünün çalışmasını beklemeniz gerekir. Eşitleme işleminin tamamlanması genellikle yaklaşık 40 dakika sürer. Durumu, Sağlama sayfasının en altında, Geçerli Durum'un altında görebilirsiniz.

AWS Tek Hesap erişim testi kullanıcısı oluşturma

Bu bölümün amacı, AWS Tek Hesap Erişimi'nde B.Simon adlı bir kullanıcı oluşturmaktır. AWS Tek Hesap Erişimi'nin SSO için kendi sisteminde bir kullanıcı oluşturulmasına gerek yoktur, bu nedenle burada herhangi bir işlem yapmanız gerekmez.

SSO'ları test edin

Bu bölümde, Microsoft Entra çoklu oturum açma yapılandırmanızı aşağıdaki seçeneklerle test edin.

SP başlatıldı:

• Bu uygulamayı test et'i seçin, bu seçenek oturum açma akışını başlatabileceğiniz AWS Single-Account Erişim Oturum Açma URL'sine yönlendirilir.

• DOĞRUDAN AWS Tek Hesap Erişimi Oturum Açma URL'sine gidin ve oturum açma akışını buradan başlatın.

IDP başlatıldı:

• Bu uygulamayı test et'i seçtiğinizde SSO'nun kurulumunu yaptığınız AWS Single-Account Access'te otomatik olarak oturum açmanız gerekir.

Uygulamayı herhangi bir modda test etmek için Microsoft Uygulamalarım de kullanabilirsiniz. Uygulamalarım'da AWS Single-Account Access kutucuğunu seçtiğinizde, SP modunda yapılandırıldıysa oturum açma akışını başlatmanız için uygulama oturum açma sayfasına yönlendirilirsiniz ve IDP modunda yapılandırıldıysanız SSO'nun ayarlandığı AWS Single-Account Access'te otomatik olarak oturum açmanız gerekir. Uygulamalarım hakkında daha fazla bilgi için bkz. Uygulamalarım'a Giriş

Bilinen sorunlar

• AWS Tek Hesap Erişimi sağlama tümleştirmesi AWS Çin bölgelerinde kullanılamaz.

• Sağlama bölümünde, Eşlemeler alt bölümünde "Yükleniyor..." mesajı görünür ve öznitelik eşlemelerini hiçbir zaman göstermez. Bugün desteklenen tek sağlama iş akışı, bir kullanıcı veya grup ataması sırasında seçim için AWS'den Microsoft Entra Id'ye rollerin içeri aktarılmasıdır. Bunun öznitelik eşlemeleri önceden belirlenmiştir ve yapılandırılamaz.

• Sağlama bölümü, aynı anda tek bir AWS kiracısı için yalnızca bir kimlik bilgisi kümesi girmeyi destekler. AWS kiracısı için içeri aktarılan tüm roller, Microsoft Entra IDappRolesnesnesinin servicePrincipal özelliğine yazılır.

  Sağlama amacıyla galeriden Microsoft Entra ID'ye birden çok AWS kiracısı (servicePrincipals ile temsil edilen) eklenebilir. Bununla birlikte, çoklu AWS sağlama işlemleri için kullanılan servicePrincipals rollerinin, SSO için kullanılan tek bir servicePrincipal içerisine otomatik olarak yazılamaması konusunda bilinen bir sorun vardır.

  Geçici bir çözüm olarak, sağlama yapılandırmasının yapıldığı her AWS'ye aktarılmış tüm verileri çıkarmak için Microsoft Graph API'yi kullanabilirsiniz. Daha sonra bu rol dizelerini SSO'nun yapılandırıldığı AWS'ye servicePrincipal ekleyebilirsiniz.

• Rollerin AWS'den Microsoft Entra Id'ye aktarılmaya uygun olması için aşağıdaki gereksinimleri karşılaması gerekir:

  • AWS üzerinde rollerin tam olarak bir SAML sağlayıcısı tanımlaması gereklidir.
  • Rol için ARN'nin (Amazon Kaynak Adı) ve ilişkili saml sağlayıcısının ARN'sinin birleşik uzunluğu 240 karakterden az olmalıdır.

Değişiklik Günlüğü

• 12.01.2020 - Rol uzunluğu sınırı 119 karakterden 239 karaktere yükseltildi.

İlgili içerik

AWS Tek Hesap Erişimi'ni yapılandırdıktan sonra, kuruluşunuzun hassas verilerinin anlık olarak sızdırılmasına ve sızmasına karşı koruma sağlayan Oturum Denetimi'ni devreye alabilirsiniz. Oturum Denetimi Koşullu Erişim'den genişletir. Bulut için Microsoft Defender Uygulamaları ile oturum denetimini zorunlu kılmayı öğrenin.