AWS 分析服务简化了用户对数据的访问、权限设置和审计
内容提要
AWS IAM 身份中心推出了一项功能，使 Tableau 能够将最终用户身份传播到 Amazon Redshift，从而简化登录体验，使数据所有者能够根据真实的最终用户身份定义访问权限，并允许审计员验证用户数据访问权限。可信身份传播改善了登录体验，简化了多个分析应用程序的数据访问管理和审计。
延伸解读
从通用凭证到真实身份：访问控制的转变
文章指出，以往面向用户的应用程序访问下游服务时，通常使用通用凭证（如“tableau_user”）或代入 IAM 角色进行身份验证。这导致下游服务无法区分实际用户，难以实施细粒度访问策略。例如，映射到同一 IAM 角色的不同用户无法获得不同的权限级别，也无法在同一会话中访问多个群组的数据。可信身份传播通过传递真实用户身份，使数据所有者能够基于用户、群组和数据集定义策略，解决了这一根本问题。
审计与合规：身份可追溯性的提升
文章强调，可信身份传播使审计人员能够访问系统日志中的原始用户身份，从而验证策略是否被正确实施并符合公司或行业要求。在传统模式下，如果请求来自某个 IAM 角色，还需要额外工作来关联实际操作用户。现在，审计人员可以直接在日志中看到真实用户身份，例如在 Amazon Redshift 的 sys_query_history 表中会显示 awsidc:<email address>。这大大简化了合规审计流程，并提高了数据访问的透明度。
配置要点：跨系统协作与标准协议
配置可信身份传播需要在 IAM Identity Center、面向用户的应用程序和下游服务中分别进行设置。文章提到，对于第三方应用程序（如 Tableau）或客户开发的应用程序，需要在 IAM Identity Center 创建可信令牌颁发者，将应用程序验证的用户映射到 IAM Identity Center 目录中的用户。下游服务管理员则需根据用户身份和组成员资格配置访问策略，例如在 Amazon Redshift 中配置 IAM Identity Center 可信连接并匹配受众声明。整个过程基于 OAut
用户体验与成本：简化登录且无额外费用
文章指出，最终用户将受益于单点登录，无需了解 AWS 账户和 IAM 角色，即可通过公司现有的身份提供者（如 Okta）登录并访问数据。用户交互从基于重定向的身份验证流程开始，登录后即可像往常一样使用 Tableau 等应用程序。此外，可信身份传播在目前推出 AWS IAM Identity Center 的 26 个 AWS 区域内无需额外付费。这意味着组织可以在不增加成本的情况下，改善用户体验并简化访问管理和审计。
Q&A
可信身份传播的主要功能是什么？
可信身份传播简化了用户身份管理，使得应用程序能够将最终用户身份传播到数据存储服务，改善登录体验和数据访问管理。
如何配置可信身份传播？
配置可信身份传播需要在 IAM Identity Center、面向用户的应用程序和下游服务中进行设置，以告知其使用最终用户身份。
可信身份传播对审计人员有什么好处？
审计人员可以访问系统日志中的原始用户身份，验证策略的实施是否符合公司和行业要求。
可信身份传播如何改善用户体验？
用户体验得到改善，支持单点登录，用户无需了解 AWS 账户和 IAM 角色，简化了登录流程。
可信身份传播的安全机制是什么？
可信身份传播基于 OAuth2 和 JWT 标准，确保身份和声明的安全传输。
可信身份传播的推出区域和费用情况如何？
可信身份传播在 26 个 AWS 区域内推出，且无需额外费用。
