In dieser Schritt-für-Schritt-Anleitung erfahren wir, wie man die SSO-Authentifizierung mit Redshift und AWS IAM Identity Center einrichtet, um die Sicherheit zu erhöhen und den Benutzerzugang zu erleichtern.

Redshift Sso.drawio Aktivierung Der Redshift Sso-Authentifizierung Mit Aws Iam Identity Center (Multi-Account) 1

Verwendete Quellen:

Begriffslexikon:

BegriffBedeutung
Identity Center KontoDas Konto, in dem das IAM Identity Center konfiguriert ist.
Redshift KontoDas Unterkonto des Identity Center Kontos, das den Redshift-Cluster enthält, mit dem wir eine Verbindung herstellen möchten.
IDPIdentity Provider

Was ist Redshift?

AWS Redshift ist ein vollständig verwalteter Data-Warehouse-Dienst, der von Amazon Web Services (AWS) bereitgestellt wird.
Es ist darauf ausgelegt, groß angelegte Datenanalyse-Workloads zu bewältigen und ermöglicht es Organisationen, große Datenmengen schnell und kostengünstig zu analysieren.

Was ist IAM Identity Center?

IAM Identity Center bietet einen zentralen Ort, an dem Sie Arbeitsbenutzer erstellen oder verbinden und deren Zugriff auf alle AWS-Konten und Anwendungen zentral verwalten können.
Sie können Mehrkontenberechtigungen verwenden, um Ihren Arbeitsbenutzern Zugriff auf AWS-Konten zu gewähren.

Warum SSO?

SSO verringert die Anzahl der Angriffsflächen, da sich Benutzer nur einmal täglich anmelden und nur ein Satz Anmeldeinformationen verwenden.
Die Reduzierung auf einen Satz Anmeldeinformationen verbessert die Sicherheit des Unternehmens. Wenn Mitarbeiter separate Passwörter für jede App verwenden müssen, tun sie dies normalerweise nicht.

Voraussetzungen

  1. Vorkonfiguriertes IAM Identity Center → Erste Schritte – AWS IAM Identity Center.
  2. Vorkonfigurierter Redshift-Cluster mit administrativem Zugriff.
  3. Benutzername und Passwort der Identitätsquelle (Okta, PingOne, etc.).
  4. JetBrains DataGrip installiert (kann kostenlos sein).

Schritt für Schritt:

Identity Center-Anwendung konfigurieren

Unser erster Schritt wird sein, eine neue AWS Identity Center-Anwendung im Identity Center Konto zu erstellen, die als Hauptkanal zwischen Benutzern und dem Redshift-Cluster verwendet wird.

  1. Klicken Sie im Seitenbereich des IAM Identity Centers auf „Anwendungen“.
    Screenshot 2566 07 02 At 15.25.46 Aktivierung Der Redshift Sso-Authentifizierung Mit Aws Iam Identity Center (Multi-Account) 2
  2. Klicken Sie in der oberen rechten Ecke auf „Anwendung hinzufügen“.
    Screenshot 2566 07 02 At 15.27.18 Aktivierung Der Redshift Sso-Authentifizierung Mit Aws Iam Identity Center (Multi-Account) 3
  3. Wählen Sie „benutzerdefinierte SAML 2.0-Anwendung hinzufügen“ und klicken Sie auf „Weiter“.
    Screenshot 2566 07 02 At 15.28.44 Aktivierung Der Redshift Sso-Authentifizierung Mit Aws Iam Identity Center (Multi-Account) 4
  4. Legen Sie einen geeigneten Anzeigenamen fest, wir nennen unsere Anwendung „Redshift-ReadOnly“, da diese Anwendung verwendet wird, um Lesezugriff auf die Clusterdaten zu erhalten.
    Screenshot 2566 07 02 At 15.32.25 Aktivierung Der Redshift Sso-Authentifizierung Mit Aws Iam Identity Center (Multi-Account) 5
  5. Laden Sie die SAML-Metadatendatei des Identity Centers herunter, wir werden sie später verwenden, um unsere Redshift-Kontoanwendung zu konfigurieren.
    Screenshot 2566 07 02 At 15.33.39 Aktivierung Der Redshift Sso-Authentifizierung Mit Aws Iam Identity Center (Multi-Account) 6
  6. Kopieren Sie die Anmelde-URL der Anwendung URL, da wir sie später benötigen.
  7. Als nächstes konfigurieren wir die SAML-Anwendungs-ACS (auch bekannt als Assertion Consumer Service).
    Kurz gesagt, ACS ist der Ort, an den die SAML-Anwendungsantwort gesendet wird.

    Da wir den AWS Redshift JDBC-Treiber verwenden werden, um eine Verbindung zu unserem Redshift-Cluster herzustellen, müssen wir die Anwendungs-ACS auf http://localhost:7890/redshift/ setzen – da der JDBC-Treiber standardmäßig einen Server auf Port 7890 startet.
    Screenshot 2566 07 02 At 15.56.40 Aktivierung Der Redshift Sso-Authentifizierung Mit Aws Iam Identity Center (Multi-Account) 7Ab00F622 901E 48A6 Af15 55B11Fe407F4#Media Blob Url=True&Amp;Id=A1039895 Cc77 4376 8887 687B0A94Ffae&Amp;Collection=Contentid Aktivierung Der Redshift Sso-Authentifizierung Mit Aws Iam Identity Center (Multi-Account) 8
  8. Um die SAML-Anwendungsassertion nur auf Redshift zu beschränken, konfigurieren wir das Feld „Anwendungs-SAML-Zielgruppe“ auf urn:amazon:webservices:redshift.
    Screenshot 2566 07 02 At 15.58.17 Aktivierung Der Redshift Sso-Authentifizierung Mit Aws Iam Identity Center (Multi-Account) 9

Identity Provider erstellen

Nachdem wir unsere Redshift-ReadOnly-Anwendung im Identity Center Konto erstellt haben, müssen wir einen Identity Provider konfigurieren, der von der Redshift-ReadOnly-Anwendung verwendet wird, um eine Verbindung zum Redshift-Konto-Redshift-Cluster herzustellen.

  1. Klicken Sie im Seitenbereich des IAM-Dashboards Ihres Redshift-Kontos auf Identity Providers.
    Screenshot 2566 07 02 At 16.19.31 Aktivierung Der Redshift Sso-Authentifizierung Mit Aws Iam Identity Center (Multi-Account) 10
  2. Klicken Sie in der oberen rechten Ecke auf „Provider hinzufügen“.
    Screenshot 2566 07 02 At 16.21.05 Aktivierung Der Redshift Sso-Authentifizierung Mit Aws Iam Identity Center (Multi-Account) 11
  3. Füllen Sie die Details für den neuen IDP aus:
    1. Setzen Sie den „Provider-Namen“ auf Redshift-ReadOnly (gleich wie unsere zuvor konfigurierte Anwendung).
    2. Laden Sie die Metadatendatei hoch, die wir während des Konfigurationsprozesses unserer IAM Identity Center-Anwendung heruntergeladen haben.F2Db2Cb3 28D0 4578 Ac63 F813A350A2D9#Media Blob Url=True&Amp;Id=Af2A9Aac Ed5D 4C7C 8Aea E91254Cfdeaf&Amp;Collection=Contentid Aktivierung Der Redshift Sso-Authentifizierung Mit Aws Iam Identity Center (Multi-Account) 12 Klicken Sie auf „Provider hinzufügen“ und beenden Sie.
      Screenshot 2566 07 02 At 16.22.59 Aktivierung Der Redshift Sso-Authentifizierung Mit Aws Iam Identity Center (Multi-Account) 13
  4. Gehen Sie zur IDP-Beschreibungsseite und kopieren Sie die IDP ARN, wir werden sie später verwenden.
    Screenshot 2566 07 02 At 17.04.43 Aktivierung Der Redshift Sso-Authentifizierung Mit Aws Iam Identity Center (Multi-Account) 140A06764A C351 43F3 810A 15Da912D7C05#Media Blob Url=True&Amp;Id=39497B0D 7A31 4Add 8C83 107Db8043F05&Amp;Collection=Contentid Aktivierung Der Redshift Sso-Authentifizierung Mit Aws Iam Identity Center (Multi-Account) 15

IAM-Rolle und -Richtlinie erstellen

Nachdem wir den Identity Provider erstellt haben, der von unserer IAM Identity Center-Anwendung verwendet wird, können wir die Rolle erstellen, die verwendet wird, um eine Verbindung zum Redshift-Cluster herzustellen.

  1. Klicken Sie im Seitenbereich des IAM-Dashboards Ihres Redshift-Kontos auf Rollen.
    Screenshot 2566 07 02 At 16.14.15 Aktivierung Der Redshift Sso-Authentifizierung Mit Aws Iam Identity Center (Multi-Account) 16
  2. Klicken Sie in der oberen rechten Ecke auf „Rolle erstellen“.
    Screenshot 2566 07 02 At 16.15.37 Aktivierung Der Redshift Sso-Authentifizierung Mit Aws Iam Identity Center (Multi-Account) 17
  3. Erstellen Sie eine vertrauenswürdige Entität vom Typ SAML 2.0-Föderation und setzen Sie Folgendes:
    1. Setzen Sie den IDP auf den „Redshift-ReadOnly“-IDP, den wir zuvor erstellt haben.
    2. Wählen Sie die Option „Nur programmgesteuerten Zugriff zulassen“ und setzen Sie:
      Attribut: „SAML:aud“ → Festlegung, welche Zielgruppe diese Rolle übernehmen kann.
      Wert: „http://localhost:7890/redshift/ → Festlegung der Zielgruppe auf unseren lokalen Redshift JDBC-Treiber-Server (wie im ersten Abschnitt erklärt).
      Screenshot 2566 07 02 At 16.44.02 Aktivierung Der Redshift Sso-Authentifizierung Mit Aws Iam Identity Center (Multi-Account) 18
      Klicken Sie auf „Weiter“.
  4. Klicken Sie auf „Richtlinie erstellen“ und ein neuer Tab wird geöffnet.5F413Ee0 9082 48Fe Bbf9 1266E384F039#Media Blob Url=True&Amp;Id=F54050E8 48E9 4C67 8E16 34Cb159B53B5&Amp;Collection=Contentid Aktivierung Der Redshift Sso-Authentifizierung Mit Aws Iam Identity Center (Multi-Account) 19
  5. Wählen Sie „JSON“.38E95090 Ae9B 4366 9C1E 4C24Cab89231#Media Blob Url=True&Amp;Id=75587102 9Ee1 4Ce6 Abd5 C83D2C872050&Amp;Collection=Contentid Aktivierung Der Redshift Sso-Authentifizierung Mit Aws Iam Identity Center (Multi-Account) 20
  6. Fügen Sie im Richtlinien-Editor-Panel die folgende Richtlinienanweisung ein und bearbeiten Sie die folgenden Werte im „Ressourcen“-Bereich, um sie an Ihre eigenen anzupassen: <region>, <account>, <clusterName>.
    				
    					{
        "Version": "2012-10-17",
        "Statement": [
            {
                "Effect": "Allow",
                "Action": [
                    "redshift:CreateClusterUser",
                    "redshift:JoinGroup",
                    "redshift:GetClusterCredentials",
                    "redshift:ListSchemas",
                    "redshift:ListTables",
                    "redshift:ListDatabases",
                    "redshift:ExecuteQuery",
                    "redshift:FetchResults",
                    "redshift:CancelQuery",
                    "redshift:DescribeClusters",
                    "redshift:DescribeQuery",
                    "redshift:DescribeTable"
                ],
                "Resource": [
                    "arn:aws:redshift:<region>:<account>:cluster:<clusterName>",
                    "arn:aws:redshift:<region>:<account>:dbuser:<clusterName>/${redshift:DbUser}",
                    "arn:aws:redshift:<region>:<account>:dbname:<clusterName>/${redshift:DbName}",
                    "arn:aws:redshift:<region>:<account>:dbgroup:<clusterName>/bi_users_group",
                ]
            }
        ]
    }
    				
    			

  7. Benennen Sie die Richtlinie „Redshift-ReadOnly-policy“ und klicken Sie auf „Create policy“.638F1D27 23E5 4A2F 8351 3F13Ebf6A7F1#Media Blob Url=True&Amp;Id=E6D9B9F7 Ff16 4B5A 851E 162A99C4D39D&Amp;Collection=Contentid Aktivierung Der Redshift Sso-Authentifizierung Mit Aws Iam Identity Center (Multi-Account) 21
    Screenshot 2566 07 02 At 16.55.08 Aktivierung Der Redshift Sso-Authentifizierung Mit Aws Iam Identity Center (Multi-Account) 22
  8. Gehen Sie zurück zum ursprünglichen Tab, in dem wir begonnen haben, unsere IAM-Rolle zu erstellen
    → klicken Sie auf Aktualisieren → geben Sie „Redshift-ReadOnly-policy“ in die Suchleiste ein → markieren Sie die Richtlinie „Redshift-ReadOnly-policy“ → klicken Sie auf „Next“.
    Screenshot 2566 07 02 At 16.56.59 Aktivierung Der Redshift Sso-Authentifizierung Mit Aws Iam Identity Center (Multi-Account) 23
  9. Benennen Sie die Rolle „Redshift-ReadOnly-role“ und klicken Sie in der unteren rechten Ecke auf „Create role“.
    Screenshot 2566 07 02 At 16.59.54 Aktivierung Der Redshift Sso-Authentifizierung Mit Aws Iam Identity Center (Multi-Account) 24F0080F98 F453 40Bb 83C7 24E81210A9F2#Media Blob Url=True&Amp;Id=7Ece7E5C F65E 4144 9C4A E4856Fa6E8Db&Amp;Collection=Contentid Aktivierung Der Redshift Sso-Authentifizierung Mit Aws Iam Identity Center (Multi-Account) 25
  10. Jetzt, da wir die IAM-Rolle erstellt haben, gehen Sie zu ihrer Beschreibungsseite und kopieren Sie die Rollen-ARN, die wir später verwenden werden.
    Screenshot 2566 07 02 At 17.08.58 Aktivierung Der Redshift Sso-Authentifizierung Mit Aws Iam Identity Center (Multi-Account) 26

Konfigurieren Sie die IAM Identity Center Anwendungsattribute

Um unsere Anwendung so zu konfigurieren, dass sie mit Redshift funktioniert, müssen wir einige Anwendungsattribute konfigurieren, die ihr „wie man sich verbindet“ anleiten.

  1. Gehen Sie im IAM Identity Center zum Anwendungsbereich und wählen Sie die Anwendung aus, die wir zuvor erstellt haben.
    Screenshot 2566 07 02 At 17.21.15 Aktivierung Der Redshift Sso-Authentifizierung Mit Aws Iam Identity Center (Multi-Account) 27
  2. Weisen Sie Benutzer und Gruppen zu, denen Sie Berechtigungen für diese Anwendung erteilen möchten → Weisen Sie Benutzern Zugriff auf Anwendungen in der IAM Identity Center-Konsole zu – AWS IAM Identity Center (Nachfolger von AWS Single Sign-On).
    Screenshot 2566 07 02 At 17.25.48 Aktivierung Der Redshift Sso-Authentifizierung Mit Aws Iam Identity Center (Multi-Account) 28
  3. Klicken Sie auf „Attributzuordnungen“.
    Screenshot 2566 07 02 At 17.27.54 Aktivierung Der Redshift Sso-Authentifizierung Mit Aws Iam Identity Center (Multi-Account) 29
  4. Setzen Sie die Attribute gemäß der folgenden Tabelle und ersetzen Sie die <role_arn> & <idp_arn> Platzhalter durch die ARNs, die Sie in den vorherigen Schritten kopiert haben:
AttributWertErklärung
Subjekt (Standardattribut)${user:email}Das verwendete Subjekt.
https://aws.amazon.com/SAML/Attributes/RoleSessionName${user:email}Der gegen den Cluster erstellte Sitzungsname.
https://redshift.amazon.com/SAML/Attributes/AutoCreatetrueKonfigurieren Sie die Anwendung so, dass der Redshift-Benutzer bei der Authentifizierung automatisch erstellt wird.
https://aws.amazon.com/SAML/Attributes/Role,Die zu verwendende IAM-Rolle und IDP zur Verbindung mit Redshift.
https://redshift.amazon.com/SAML/Attributes/DbUser${user:email}Der zu erstellende DB-Benutzername.
https://redshift.amazon.com/SAML/Attributes/DbGroupsreadonlyDie DB-Gruppe, der der neu erstellte Benutzer zugewiesen werden soll.
Screenshot 2566 07 02 At 17.38.32 Aktivierung Der Redshift Sso-Authentifizierung Mit Aws Iam Identity Center (Multi-Account) 30

Klicken Sie auf „Änderungen speichern“.

Erstellen Sie die Redshift-Gruppe & Berechtigungen erteilen

In diesem Schritt konfigurieren wir die readonly Redshift-Gruppe (wie in den Anwendungsattributen im vorherigen Schritt definiert), der jeder Benutzer zugewiesen wird, wenn er sich über die Anwendung verbindet.

  1. Verbinden Sie sich mit Ihrem Redshift-Cluster mit einem privilegierten Benutzer (Superuser).
  2. Führen Sie das folgende SQL-Skript aus, um die readonly Gruppe zu erstellen und ihr read Berechtigungen für das öffentliche Schema (das Standardschema) zuzuweisen.
    				
    					create group readonly;
    grant usage on schema public to group readonly;
    grant select on all tables in schema public to group readonly;
    				
    			

Konfigurieren Sie die DataGrip-Client-Datenquelle

:Tada: Wir sind fertig eingerichtet und endlich bereit, unsere Früchte zu ernten! :Tada:
In diesem Schritt konfigurieren wir eine DataGrip-Datenquelle, die als Verbindung zwischen uns und dem Redshift-Cluster verwendet wird.

  1. Öffnen Sie DataGrip und erstellen Sie eine neue Redshift-Datenquelle.
    Screenshot 2566 07 02 At 17.52.46 Aktivierung Der Redshift Sso-Authentifizierung Mit Aws Iam Identity Center (Multi-Account) 31
  2. Ein Datenquellenassistent wird geöffnet, um die Verbindung zu konfigurieren. Setzen Sie die folgenden Attribute:
    1. Name: Redshift ReadOnly SSO.
    2. Host: Ihr Redshift-Server-Endpunkt.
    3. Benutzer: Ihr email-Identifikator (wird als Redshift-DB-Benutzer verwendet).
    4. Passwort: das Passwort, das Sie in Ihrer Identitätsquelle (Okta, PingOne usw.) konfiguriert haben.
    5. Datenbank: die Datenbank, mit der Sie sich verbinden möchten.
    6. URL: die URL wird größtenteils an diesem Punkt konfiguriert sein (aufgrund der DataGrip-Autovervollständigung), alles, was Sie noch tun müssen, ist das JDBC-URL-Präfix von jdbc:redshift:// zu jdbc:redshift:iam:// zu ändern.
      Screenshot 2566 07 02 At 17.57.29 Aktivierung Der Redshift Sso-Authentifizierung Mit Aws Iam Identity Center (Multi-Account) 32
  3. Gehen Sie zum Advanced Tab und konfigurieren Sie diese 3 Attribute:
    1. plugin_name: com.amazon.redshift.plugin.BrowserSamlCredentialsProvider – bereits definiert, also bearbeiten Sie es.
    2. idp_reponse_timeout: 60 – erstellen Sie einen neuen Wert.
    3. login_url: <Ihre zuvor kopierte SAML-Anmelde-URL der Anwendung> – erstellen Sie einen neuen Wert.
      Screenshot 2566 07 02 At 18.10.07 Aktivierung Der Redshift Sso-Authentifizierung Mit Aws Iam Identity Center (Multi-Account) 33
  4. Klicken Sie unten im Datenquellenkonfigurationsassistenten auf „Verbindung testen“.
    Screenshot 2566 07 02 At 18.11.44 Aktivierung Der Redshift Sso-Authentifizierung Mit Aws Iam Identity Center (Multi-Account) 34938Ff2Bb 46C7 4Cd9 9020 Aa00B134D7B5#Media Blob Url=True&Amp;Id=Ec78F4D0 C3C0 4743 8A1D E5568685C9E7&Amp;Collection=Contentid Aktivierung Der Redshift Sso-Authentifizierung Mit Aws Iam Identity Center (Multi-Account) 35
    Nach dem Klicken wird Ihr Browser geöffnet und zeigt den folgenden Bildschirm an:
    Screenshot 2566 07 02 At 18.14.29 Aktivierung Der Redshift Sso-Authentifizierung Mit Aws Iam Identity Center (Multi-Account) 36
    Wenn alles richtig konfiguriert ist, sollten Sie das folgende Popup in DataGrip sehen:
    Screenshot 2566 07 02 At 18.14.34 Aktivierung Der Redshift Sso-Authentifizierung Mit Aws Iam Identity Center (Multi-Account) 378B152B94 3Cbd 465A A56F 6Cfc8Cec2C19#Media Blob Url=True&Amp;Id=Ac42272D 34E4 46B6 9Ec4 57583Deb1983&Amp;Collection=Contentid Aktivierung Der Redshift Sso-Authentifizierung Mit Aws Iam Identity Center (Multi-Account) 38
    Klicken Sie auf OK.

    Das war’s! Vielen Dank fürs Lesen 🙂