将身份提供商IdP与 Amazon Redshift Query Editor V2 和 SQL

将身份提供商 (IdP) 集成到 Amazon Redshift 查询编辑器 V2 和 SQL 客户端中，使用 AWS IAM 身份中心实现无缝单点登录

由 Maneesh Sharma Harshida Patel Karthik Ramanathan Praveen Kumar Ramakrishnan 和 Debu Panda 于 2023 年 11 月 30 日发表

关键要点

AWS IAM 身份中心允许您从一个位置管理对所有 AWS 账户和应用的单点登录SSO访问。我们高兴地宣布 Amazon Redshift 现已与 AWS IAM 身份中心集成，并支持 可信身份传播，这使您能够使用 第三方身份提供商 (IdP)，如 Microsoft Entra ID (Azure AD)、Okta、Ping 和 OneLogin。该集成简化了使用 查询编辑器 V2QEv2或 Amazon QuickSight 访问数据仓库的身份验证和授权流程。

此集成使 Amazon Redshift 成为 IAM 身份中心管理的应用程序，您可以对数据仓库实施基于数据库角色的访问控制，以提高安全性。IAM 身份中心通过使用 SCIM v20 协议支持从您的首选身份提供商自动配置用户和组，确保在更新 AWS IAM 身份中心中信息的无缝同步。

在本文中，我们将为您提供有关如何将 IAM 身份中心与 Amazon Redshift 集成以管理您的身份提供商组的全面指南，以及如何利用该集成使用 Amazon Redshift 查询编辑器 V2 (QEv2) 和像 DbVisualizer 和 DBeaver 这样的 SQL 客户端查询 Redshift 表。

解决方案概述

通过将 IAM 身份中心与 Amazon Redshift 集成，您的组织可以获得以下好处：

Amazon Query Editor V2 工作流与 IAM 身份中心和外部身份提供商：

SQL 客户端工作流与 IAM 身份中心和外部身份提供商：

用户配置 SQL 客户端以使用 IAM 身份中心的发行者 URL 或开始 URL。Redshift 驱动程序根据 PKCE 向 IAM 身份中心发起基于 OAuth 20 的授权授权。在浏览器中，用户在 IdP 登录页面输入凭据如果尚未登录 IdP。Redshift 驱动程序从 IAM 身份中心获取授权代码。驱动程序调用 IAM 身份中心并传入授权代码。IAM 身份中心返回访问令牌给驱动程序。驱动程序将访问令牌转发到 Redshift 的 SQL 请求。Redshift 调用 IAM 身份中心以从访问令牌中获取用户 ID。Redshift 使用用户 ID 获取 IAM 身份中心中的组成员信息，并利用该信息授权访问请求的数据。SQL 客户端能够连接到 Amazon Redshift，并根据 IAM 身份中心返回的用户和组成员信息访问数据。

解决方案步骤

与 IAM 身份中心集成的 Amazon Redshift

51 集成新的 Amazon Redshift 提供的或 Amazon Redshift 无服务器端点52 将 IAM 身份中心应用程序与现有提供的集群或无服务器端点关联

配置 Amazon Redshift 基于角色的访问

前提条件

您需要满足以下前提条件：

指南

步骤 1：创建 Amazon Redshift 访问的 IAM 策略

要将 Amazon Redshift 集成到 IAM 身份中心中，您必须在 Amazon Redshift 集群或无服务器实例存在的账户中创建一个 IAM 策略。在本文中，我们会在存在 Redshift 集群/无服务器实例的成员账户中创建 IAM 策略。所需的特定策略权限如下：

按照以下步骤创建您的 IAM 策略：

对于策略，逐个输入以下 JSON 格式：

json{ Version 20121017 Statement [ { Sid VisualEditor0 Effect Allow Action [ redshiftDescribeQev2IdcApplications redshiftserverlessListNamespaces redshiftserverlessListWorkgroups redshiftserverlessGetWorkgroup ] Resource } { Sid VisualEditor1 Effect Allow Action [ ssoDescribeApplication ssoDescribeInstance ] Resource [ arnawsssoinstance/ltIAM Identity Center Instance IDgt arnawsssoltAWS Account IDgtapplication/ltIAM Identity Center Instance IDgt/ ] } ]}

将 ltIAM Identity Center Instance IDgt 替换为您的身份中心实例 ID，将 ltAWS Account IDgt 替换为设置 IAM 身份中心的账户 ID。在本文中，对于 ltIAM Identity Center Instance IDgt 我们使用的是属于管理账户的组织实例 ID，而对于 ltAWS Account IDgt，则使用管理账户 ID。

步骤 2：创建 IAM 角色

要将 Amazon Redshift 与 IAM 身份中心集成，您必须在集群所在的账户中创建 IAM 角色。在本文中，我们会在存在 Redshift 集群/无服务器实例的成员账户中创建 IAM 角色。Redshift 管理员使用此 IAM 角色来配置 Redshift 以与 IAM 身份中心一起使用。创建 IAM 角色的步骤如下：

下面是 Trust Relationships 的代码示例：

json{ Version 20121017 Statement [ { Effect Allow Principal { Service redshiftamazonawscom } Action [ stsAssumeRole stsSetContext ] } ]}

步骤 3：设置 IAM 身份中心与 Amazon Redshift 的集成

Amazon Redshift 集群管理员或 Amazon Redshift 无服务器管理员必须执行步骤，将 Redshift 配置为在存在 Redshift 端点/无服务器实例的账户中启用 IAM 身份中心的应用程序。在本文中，我们将在存在 Redshift 集群/无服务器实例的成员账户中创建 Amazon Redshift 应用程序。这使 Amazon Redshift 能够自动发现并连接到 IAM 身份中心，以接收登录和用户目录服务。

随后，当 Amazon Redshift 管理员创建集群或工作组时，他们可以启用新的数据仓库使用 IAM 身份中心及其身份管理功能。启用 Amazon Redshift 作为 IAM 身份中心管理的应用程序的目的是，您可以从 IAM 身份中心或集成的第三方身份提供商中控制用户和组的权限。

例如，当您的数据库用户登录到 Amazon Redshift 数据库时，系统会检查他们在 IAM 身份中心中的组，并将这些组映射到 Amazon Redshift 中的角色。以这样的方式，一个组可以映射到一个 Amazon Redshift 数据库角色，允许读取一组表。

接下来的步骤显示如何将 Amazon Redshift 设为支持 IAM 身份中心的 AWS 管理应用程序：

选择 Create application。

在 IAM Identity Center connection 中选择 Next。

在 Review and create application 部分，检查您输入的所有详细信息，然后选择 Create application。

完成这些步骤后，IAM 身份中心的属性将在 Redshift 控制台中显示。完成这些任务使 Redshift 成为一个启用了 IAM 身份中心