Amazon Simple AD用户的AWS访问/密钥

Question

我已经设置了Amazon Simple AD并为AD用户分配了特定角色，以便他们能够访问AWS控制台。我正在尝试找到一种方法，可以对AWS资源进行相同的用户编程访问。基本上怎么才能让这些简单的AD用户获得一个访问密钥&密钥？

Answer 1

AWS简单AD用户不是AWS IAM用户。这是区别。只有IAM用户可以获取用于访问AWS API的密钥。

上述语句有一个例外 - 如果您在IAM中设置联合身份提供程序。有许多使用SAML的支持联邦身份提供商（OIDC也可以），但由于您已经拥有简单AD，因此您最好使用ADFS。设置起来有点痛苦，但AWS最近发布了一个专门用于部署ADFS的预制CloudFormation模板：http://docs.aws.amazon.com/quickstart/latest/wap-adfs/welcome.html

一旦您设置了ADFS并映射到AD用户，他们仍然无法获取访问密钥！为API ...但他们可以使用联合身份验证为自己与AWS的API认证：

的PowerShell（有用的部分是超过一半，）：http://docs.aws.amazon.com/powershell/latest/userguide/saml-pst.html

Linux的命令行：https://aws.amazon.com/blogs/security/how-to-implement-federated-api-and-cli-access-using-saml-2-0-and-ad-fs/

Answer 2

您不能使用密钥对（访问密钥和密钥）登录AWS控制台（UI）。您可以创建用户并为此生成密码（与密钥对不同）。我的理解是密钥对仅用于编程目的，您可以将它们用于SDK，AWS API和AWS CLI。

要允许AD用户（和密码）登录到AWS控制台，您必须实现/启用联合身份验证，但并不像您想像的那么简单。我发现这个指南，希望它有帮助！ Enabling Federation to AWS Using Windows Active Directory, ADFS, and SAML 2.0