亚马逊AWS官方博客
·
基于 TLS 1.2 TLS 1.3 的 SAML ADFS 实现控制台及 Redshift 用户的安全单点登录（一）
内容提要
本文介绍如何在 Windows 2022 上配置 ADFS 与 AWS IAM 集成，实现单点登录（SSO）。内容涵盖 TLS 1.2/1.3 的设置、AD、ADFS 和 IIS 的安装，以及 Redshift 的 IAM 登录配置，最后提供客户端连接 Redshift 的示例代码。
关键要点
-
本文介绍如何在 Windows 2022 上配置 ADFS 与 AWS IAM 集成，实现单点登录（SSO）。
-
内容涵盖 TLS 1.2/1.3 的设置、AD、ADFS 和 IIS 的安装，以及 Redshift 的 IAM 登录配置。
-
很多企业希望通过 ADFS 将 AWS IAM 用户与现有用户管理系统集成以实现 SSO。
-
TLS 1.2/TLS 1.3 是 Windows 2016 及后续版本推荐的默认配置。
-
介绍如何为 .NET Framework 设置 TLS 1.2/TLS 1.3，并安装 AD、ADFS 和 IIS。
-
实现使用 IAM 凭证登录 Redshift，替代原有的用户名密码登录方式。
-
介绍 SAML Identity Provider 的创建及 ADFS Claim Role 配合 IAM Role 的设置。
-
Redshift 提供 ODBC 和 JDBC 驱动，支持 IAM，介绍两种客户端连接方式的安装配置。
-
基于 SAML 的联合身份验证原理相似，客户端向 ADFS 提出身份鉴权申请。
-
前提条件包括一个 Redshift 集群和两台 Windows 2022 x64 EC2 实例。
-
合理配置安全组、路由及 NACL，确保 EC2 之间互通及可访问互联网。
-
使用 PowerShell 命令完成 Windows 域、ADFS 等服务的安装配置。
-
需按顺序执行命令以确保服务及 TLS 之间的依赖关系。
-
创建用户及组时需满足 Windows 密码复杂度要求。
-
为 IIS 启用 HTTPS，并配置 ADFS 的 SignonPage。
-
下载元数据文件以便通过 AWS 控制台创建 Identity Provider。
延伸解读
TLS 1.2/TLS 1.3 的重要性
在 Windows 2016 及以上版本中，TLS 1.2 和 TLS 1.3 被推荐为默认配置。这两种协议提供了更高的安全性和效率，尤其是在处理敏感数据时。企业在配置 ADFS 和 AWS IAM 集成时，务必确保启用这些协议，以防止潜在的安全漏洞。
ADFS 与 AWS IAM 集成的优势
通过 ADFS 集成 AWS IAM，企业可以实现单点登录（SSO），简化用户管理流程。这种集成不仅提高了用户体验，还增强了安全性，因为用户无需记住多个密码。企业在实施时应关注用户权限的合理配置，以确保安全性与便利性的平衡。
配置过程中的注意事项
在配置 ADFS 和 Redshift 的过程中，确保按照正确的顺序执行 PowerShell 命令，以避免服务依赖问题。此外，创建用户和组时需遵循 Windows 密码复杂度要求，以防止配置失败。合理配置安全组和网络访问控制列表（NACL）也是确保系统正常运行的关键。
延伸问答
如何在 Windows 2022 上配置 ADFS 与 AWS IAM 集成以实现单点登录？
可以通过安装 Active Directory、ADFS 和 IIS，并配置 TLS 1.2/TLS 1.3 来实现 ADFS 与 AWS IAM 的集成，最终实现单点登录。
TLS 1.2 和 TLS 1.3 的设置有什么重要性？
TLS 1.2 和 TLS 1.3 提供更安全和高效的加密方式，是 Windows 2016 及后续版本推荐的默认配置。
如何使用 IAM 凭证登录 Redshift？
可以通过配置 SAML Identity Provider 和 ADFS Claim Role 配合 IAM Role 来实现使用 IAM 凭证登录 Redshift，替代传统的用户名密码方式。
在配置 ADFS 时需要满足哪些前提条件？
需要有一个 Redshift 集群和两台 Windows 2022 x64 EC2 实例，并合理配置安全组、路由及 NACL，以确保互通和互联网访问。
如何为 .NET Framework 设置 TLS 1.2/TLS 1.3？
可以通过 PowerShell 命令添加注册表键来启用 TLS 1.2/TLS 1.3，确保服务的安全性。
ADFS 的 SignonPage 如何启用？
可以通过 PowerShell 命令 Set-AdfsProperties -EnableIdpInitiatedSignonPage $true 来启用 ADFS 的 SignonPage。
