Das AWS IAM Identity Center: Single Sign On für AWS-Ressourcen SSO über Azure AD und Active Directory auf AWS

Anbieter zum Thema

Cradlepoint GmbH

Microsoft Deutschland GmbH

Amazon Web Services Germany GmbH

Mit dem AWS IAM Identity Center lassen sich lokale Active-Directory-Strukturen und Azure AD an AWS anbinden. Das hat den Vorteil, dass die Authentifizierung in AWS auch mit externen Diensten durchgeführt werden kann. Der Beitrag zeigt die Möglichkeiten und die Einrichtung.

Es kommt häufig vor, dass Ressourcen in AWS mit Anmeldedaten aus Active Directory oder Azure AD authentifiziert werden sollen. Das ist über das AWS IAM Identity Center sogar kostenlos möglich. Das AWS IAM Identity Center ist der Nachfolger von AWS Single-Sign-On.

In diesem Fall wird entweder Azure AD oder On-Premises Active Directory über das AWS IAM Identity Center an AWS verbunden. Wenn Benutzer sich mit ihren Anmeldedaten aus Azure AD oder AD authentifizieren wollen, routet AWS die Anmeldung an die entsprechende Stelle in Azure oder zum jeweiligen Domänencontroller. Es werden bei diesem Vorgang also keine Benutzerdaten zwischen AWS, Azure AD oder Active Directory synchronisiert, sondern AWS leitet Authentifizierungsanfragen zur jeweiligen Quelle weiter.

Bildergalerie

Bildergalerie mit 6 Bildern

Active Directory, Azure AD, Azure AD Connect und AWS IAM Identity Center

Wenn es in AWS Ressourcen gibt, die über Azure AD authentifiziert werden sollen und auch Konten aus lokalen Active Directory-Gesamtstrukturen zum Einsatz kommen, macht es Sinn, zunächst die lokale AD-Umgebung mit Azure AD Connect an Azure AD anzubinden und Benutzerkonten zu synchronisieren. Die Benutzer können sich dadurch lokal anmelden, Ressourcen in Azure nutzen und auch auf AWS-Ressourcen zugreifen, wenn die Verknüpfung zwischen AWS und Azure mit dem IAM Identity Center durchgeführt wurde.

Über das AWS IAM Identity Center erfolgt danach die Anbindung des jeweiligen Azure-AD-Abonnenten. Dadurch können sich Benutzer mit einem einheitlichen Konto anmelden und auch auf Ressourcen in AWS zugreifen. Für die Authentifizierung von AWS-Ressourcen über Azure AD wird AWS mit dem IAM Identity Center mit Azure AD verknüpft. Hierzu kommt eine SAML-2.0-Infrastruktur zum Einsatz.

AWS Directory Services, Azure AD und AD gemeinsam nutzen

Wenn in AWS die Directory Services im Einsatz sind, lassen sich in der AWS-Cloud auch AD-Infrastrukturen betreiben. Parallel dazu ist es auch möglich mit dem AWS Active Directory Connector Authentifizierungsanfragen entweder zu Azure AD Domain Services oder zu lokalen AD-Umgebungen zu routen. Im Gegensatz zu Azure AD Connect werden dabei aber keine Benutzer mit AWS synchronisiert, sondern Anmeldungen von AWS zu Azure AD Domain Services oder zu lokalen AD-Umgebungen geroutet.

Wenn in AWS eine Authentifizierung mit Azure AD stattfinden soll, müssen parallel Azure AD Domain Services zum Einsatz kommen, weil AWS Active Directory Connector keine Verbindung zu Azure AD herstellen kann. Da in einem Abonnement aber die Azure AD-Benutzer automatisch mit einer Azure-AD-Domain-Services-Instanz synchronisiert werden, lässt sich über diesen Weg auch Azure AD anbinden. Für SSO-Szenarien ist in diesem Fall aber meistens der Einsatz vom AWS IAM Identity Center der bessere Weg, vor allem, weil Azure AD Domain Services nicht kostenlos zur Verfügung stehen und auch verwaltet werden müssen.

Anbindung von Azure AD am AWS IAM Identity Center verwalten

Die Verknüpfung von AWS über das IAM Identity Center und Azure AD erfolgt über eine Unternehmensanwendung, die in Azure AD installiert, registriert und konfiguriert wird. Die entsprechenden Schritte dazu sind auf der Seite „So konfigurieren Sie die automatische Benutzerbereitstellung für AWS IAM Identity Center in Azure AD“ zu finden. Unternehmensanwendungen sind im Portal über „Azure Active Directory -> Unternehmensanwendungen“ zu finden. Durch das Erstellen einer neuen Anwendung „AWS IAM Identity Center (successor to AWS Single Sign-On)“ lässt sich Azure AD mit AWS verbinden.

In der AWS-Konsole wird auch IAM Identity Center konfiguriert. Hier erfolgt die Verbindung mit Azure AD schrittweise. Zunächst wird in der AWS-Konsole die Verwaltung des AWS IAM Identity Center aufgerufen. Hier kann die automatische Bereitstellung aktiviert werden. Bei Problemen nach der Bereitstellung kann über „Verwaltung“ die aktuelle Konfiguration gelöscht werden. Über das Dashboard im IAM Identity Center erfolgt danach die Konfiguration der Verknüpfung. Wichtig für die Verknüpfung zwischen dem AWS IAM Identity Center und der Unternehmensanwendung in Azure sind die verschiedenen Hinweise in der AWS-Dokumentation.

Identitätsquellen im AWS IAM Identity Center auswählen

Die Einrichtung der Verknüpfung zwischen AWS und Azure AD erfolgt schrittweise. Zunächst wird die Identitätsquelle festgelegt und Azure AD über die erwähnte Unternehmensanwendung mit AWS verknüpft. Nach der Einrichtung steht ein AWS-Zugriffsportal zur Verfügung, über das sich die Benutzer anmelden können. Hier ist vor allem der Menüpunkt „Identitätsquelle“ relevant.

Über den Menüpunkt „Benutzer“ auf der linken Seite im IAM Identity Center sind nach erfolgreicher Verbindung mit Azure die Benutzerkonten aus Azure AD zu sehen. Wenn parallel noch mit Azure AD Connect gearbeitet wird, um die Benutzerkonten aus einem lokalen Active Directory mit Azure AD zu synchronisieren, sind im IAM Identity Center nach der Konfiguration der Umgebung auch diese Benutzerkonten über den Menüpunkt „Benutzer“ zu finden. Für die Authentifizierung in AWS können auch Gruppen aus Azure AD zum Einsatz kommen. Diese sind in der Verwaltungskonsole des IAM Identity Center über den Menüpunkt „Gruppen“ zu sehen.

Identitätsquellen im AWS IAM Identity Center ändern

Welche Quelle für die Authentifizierung über das AWS IAM Identity Center zum Einsatz kommt, lässt sich in der Verwaltungskonsole des IAM Identity Center über den Menüpunkt „Einstellungen“ und die Schaltfläche „Aktionen“ mit „Identitätsquelle ändern“ steuern. Es lässt sich generell nur ein Identitätsanbieter an das IAM Identity Center anbinden. Sollen Azure AD und AD parallel zum Einsatz kommen, ist der beste Weg, mit „Externer Identitätsanbieter“ und der Anbindung von Azure AD zu arbeiten. Das On-Premises AD sollte in diesem Fall über Azure AD Connect direkt mit Azure AD synchronisiert werden. Wenn nur ein lokales AD zum Einsatz kommen soll, ist es an dieser Stelle auch möglich, mit AWS Directory Services zu arbeiten oder mit dem AWS AD Connector direkt das On-Premises AD anzubinden. Über einen Assistenten kann an dieser Stelle der Wechsel vollzogen werden.

(ID:49273312)