使用 ODBC 配置 Azure AD 单账户访问 SSO

在 Azure AD 门户中创建一个 Amazon 单账户访问应用程序

1. 登录到 Azure AD 门户（https://portal.azure.com）。

2. 选择 Azure Active Directory。

   

3. 在导航窗格中，选择 Enterprise applications（企业应用程序）。

   

4. 选择 New application（新建应用程序）。

   

5. 在 Browse Azure AD Gallery（浏览 Azure AD 库）页面搜索框中，输入 Amazon，然后选择 Amazon Single-Account Access（Amazon 单账户访问）。

6. 在右侧窗格中，对于 Name（名称），输入应用程序的名称。默认名称为 Amazon Single-Account Access。

7. 选择 Create (创建) 。

   完成创建过程可能需要一两分钟的时间。

8. 在 Amazon Single-Account Access（Amazon 单账户访问）页面的左侧导航窗格中，选择 Single sign-on（单点登录）。

9. 对于 Select a single sign-on method（选择一个单点登录方法），选择 SAML。

   

10. 在 Save single sign-on setting（保存单点登录设置）提示中，选择 Yes（是）。

11. 在 Basic SAML Configuration（基本 SAML 配置）部分中，执行下列操作中的一项：

    • 如果您的应用程序不需要多重身份验证，则对于 Identifier (Entity ID) [标识符（实体 ID）] 和 Reply URL（回复 URL），请确认已经预先填充了 URL https://signin.aws.amazon.com/saml，如下图所示：

      

    • 如果您的应用程序要求使用 MFA，则选择 Edit（编辑），然后在 Basic SAML Configuration（基本 SAML 配置）窗格中执行以下任务：

      1. 对于 Identifier (Entity ID) [标识符（实体 ID）]，输入 urn:amazon:webservices。

      2. 对于 Reply URL（回复 URL），输入 http://localhost/athena。

      3. 在 Basic SAML Configuration（基本 SAML 配置）窗格顶部，选择 Save（保存），然后选择 X 图标以关闭窗格。

      4. 在 Test single sign-on（测试单点登录）提示中，选择 No, I'll test later（不，我稍后再测试）。

      

12. 请注意，在 User Attributes & Claims（用户属性与声明）部分中，系统已经为您配置了所需的声明。

    

13. 在 SAML Signing Certificate（SAML 签名证书）部分中, 对于 Federation Metadata XML（联合身份验证元数据 XML），选择 Download（下载），然后将该 XML 文件保存到安全的位置。

    

    稍后，您可以将此元数据文件上传到 IAM 控制台，以启用 Athena 和 Azure 之间的通信。

向企业应用程序添加委托读取权限

1. 在 Azure 门户顶部，选择 Default Directory（默认目录）。

2. 在导航窗格中，选择 App registrations（应用程序注册）。

3. 选择 All applications（所有应用程序）选项卡，然后选中您的应用程序。

4. 在导航窗格中，选择 API permissions（API 权限）。

5. 在 Configured permissions（已配置的权限）部分中，选择 Add a permission（添加一个权限）。

6. 在右侧的 Request API permissions（请求 API 权限）窗格中，选择 Microsoft Graph。

7. 对于 What type of permissions does your application require?（您的应用程序需要哪种类型的权限？），选择 Delegated permissions（委托权限）。

8. 在 Selection permissions（选择权限）搜索框中，输入 User.Read 。

9. 展开 User（用户）部分。

10. 选中 User.Read。

11. 选择 Add permissions（添加权限）。

    

12. 在 Configured permissions（配置权限）部分中，选择 Grant admin consent for Default Directory（授予对默认目录的管理员同意），然后在出现确认提示时选择 Yes（是）。

    

    在 API Permissions（API 权限）页面上，Configured permissions（已配置的权限）部分会显示 User.Read 权限已经委托给您的应用程序。

    

13. 要了解有关 User.Read 权限的更多信息，请选择 Configured permissions（已配置的权限）部分中的 User.Read 链接。

在 Azure AD 中指定多重身份验证的重定向 URI

1. 在 Azure 门户顶部，选择 Default Directory（默认目录）。

2. 在导航窗格中，选择 App registrations（应用程序注册）。

3. 选择 All applications（所有应用程序）选项卡，然后选中您的应用程序。

4. 在左侧导航窗格中，选择 Authentication（身份验证）。

5. 在 Platform configurations（平台配置）部分中，选择 Add a platform（添加一个平台）。

   

6. 在右侧 Configure platforms（配置平台）窗格的 Mobile and desktop applications（移动和桌面应用程序）部分中，选择 Mobile and desktop applications（移动和桌面应用程序）。

7. 在 Configure Desktop + devices（配置桌面及设备）窗格中，对于 Custom redirect URIs（自定义重定向 URI），输入 http://localhost/athena，然后选择 Configure（配置）。

   

使用 Azure 元数据在 IAM 中创建 SAML 身份提供者

1. 登录Amazon Web Services Management Console，然后通过以下网址打开 IAM 控制台：https://console.aws.amazon.com/iam/。

2. 在导航窗格中，选择 Identity providers（身份提供程序），然后选择 Add provider（添加提供商）。

3. 在 Add an Identity provider（添加身份提供者）页面上，对于 Configure provider（配置提供者），输入以下信息。

   • 对于 Provider type（提供程序类型），选择 SAML。

   • 对于 Provider name（提供者名称），为您的提供者输入一个名称（例如 AthenaAzureADSSO）。

   • 对于 Metadata document（元数据文档），请使用 Choose file（选择文件）选项以上传您从 Azure AD 下载的身份提供者（IdP）元数据 XML 文件。

4. 选择 Add provider（添加提供程序）。

创建一个用于访问 Athena 和 Amazon S3 的 IAM 角色

1. 在 IAM 控制台的导航窗格中，选择 Roles（角色），然后选择 Create role（创建角色）。

   

2. 选择 SAML 2.0 federation（SAML 2.0 联合身份验证）。

3. 在 Choose a SAML 2.0 provider（选择一个 SAML 2.0 提供者）部分中，对于 SAML provider（SAML 提供者），选择您创建的 SAML 身份提供者（例如 AthenaAzureADSSO）。

4. 选择 Allow programmatic and Amazon Web Services Management Console access（允许编程和 Amazon Web Services Management Console 访问）。

5. 对于 SAML:aud Attribute（属性），执行下面的一项操作：

   • 如果您的应用程序不需要多重身份验证，请务必将 Value（值）设置为 https://signin.aws.amazon.com/saml（默认）。

   • 如果您的应用程序要求使用 MFA，则对于 Value（值），输入 http://localhost/athena。

6. 选择Next: Permissions（下一步: 权限）。

7. 在 Attach permissions policies（附加权限策略）部分中，为您的应用程序附加所需的策略。本教程附加了 AmazonAthenaFullAccess 和 AmazonS3FullAccess 策略。

   

8. 请选择下一步：标签。

9. 请选择下一步：审核。

10. 对于 Role name (角色名称)，输入您角色的名称（例如 AthenaAzureADRole）。

11. 确认您选择的策略存在，然后选择 Create role（创建角色）。

    

创建一个 ListRoles 策略

1. 在 IAM 控制台的导航窗格中，选择 Policies（策略），然后选择 Create policy（创建策略）。

2. 在创建策略页面上，选择 JSON。

3. 将下面的 ListRoles 策略粘贴到 JSON 编辑器中。

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "iam:ListRoles"
         ],
         "Resource": "*"
       }
     ]
   }

4. 请选择下一步：标签。

5. 请选择下一步：审核。

6. 在 Review policy（检查策略）页面上，为此策略输入一个名称。此演练使用名称 AthenaListRolesAzure。

   

7. 选择 Create policy（创建策略）。

为 Azure AD 服务创建一个用户并将 ListRoles 策略附加到该用户

1. 在 IAM 控制台的导航窗格中，选择 Users（用户），然后选择 Add users（添加用户）。

2. 在 Add user（添加用户）页面上，对于 User name（用户名称），输入一个用户名称。本教程使用的名称是 AthenaAzureADRoleProvision。

3. 在 Select Amazon Access type（选择 Amazon 访问类型）部分中，选择 Access key - Programmatic access（访问密钥 - 编程访问）。

4. 选择Next: Permissions（下一步: 权限）。

5. 在 Set permissions (设置权限) 页面上，选择 Attach existing policies directly (直接附加现有策略)。

   

6. 对于 Filter policies（筛选策略），输入您刚刚创建的 ListRoles 策略的名称（例如 AthenaListRolesAzure），然后选中该策略的复选框。

7. 请选择下一步：标签。

8. 选择 Next: Review (下一步: 审核)。

9. 选择 Create user。

10. 在 Success（成功）页面上，复制 Access key ID（访问密钥 ID）和 Secret access key（秘密访问密钥）。然后您需要将这些密钥添加到 Azure 中。

在 Azure AD 门户中配置角色预调配

1. 登录到 Azure AD 门户（https://portal.azure.com）。

2. 在导航窗格中，选择 Enterprise Applications（企业应用程序）。

3. 选择您的企业应用程序。

4. 在导航窗格中，选择 Provisioning（预调配）。

5. 选择开始使用。

6. 在 Provisioning（预调配）窗格中，对于 Provisioning Mode（预调配模式），选择 Automatic（自动）。

7. 展开 Admin Credentials（管理员凭证）部分，然后输入所需信息。

   

   • 对于 clientsecret，输入您在 IAM 控制台中为 Azure 创建的 IAM 用户的访问密钥 ID（在本演练中为 AthenaAzureADRoleProvision 的访问密钥）。

   • 对于 Secret Token（秘密令牌），输入相应的秘密访问密钥。

8. 选择 Test Connection（测试连接）并验证测试是否成功完成。

9. 选择 Provisioning（预调配）窗格顶部的 Save（保存）。

10. 选择 X 图标以关闭您输入了管理员凭证并测试了连接 Provisioning（预调配）窗格。您稍后可以在 Provisioning（预调配）主页面上选择 Edit provisioning（编辑预调配），从而返回此页面。

11. 在 Provisioning（预调配）主页面上，选择 Start provisioning（开始预调配）。完成预调配过程可能需要几分钟的时间。要更新状态，您可以选择 Provisioning（预调配）页面顶部的 Refresh（刷新）。

    预调配完成后，Azure AD 门户会在 Current cycle status（当前周期状态）下报告已经完成显示导入的角色数量。

在 Azure AD 中创建一个测试用户

1. 在 Azure 门户顶部，选择 Default Directory（默认目录）。

2. 在 Default Directory（默认目录）导航窗格中，选择 Users（用户）。

   

3. 选择 New user（新用户）以创建新的 Azure AD 测试用户。

   

4. 选择 Create user（创建用户）或 Invite user（邀请用户）。

5. 输入新用户的信息，然后选择 Create（创建）或 Invite（邀请）。在本教程中，我们使用 Invite（邀请）选项创建了一个名为 Athena Test User 的用户。

将 Azure AD 用户分配到您的应用程序和 IAM 角色

1. 在 Azure AD 门户中，选择 Default Directory（默认目录）、Enterprise applications（企业应用程序），然后选择您的应用程序。

2. 在导航窗格中，选择 Users and Groups（用户和组），然后选择 Add user/group（添加用户/组）。

3. 在 Add Assignment（添加分配）页面中，对于 Users（用户），选择 None Selected（未选择任何对象）。

4. 在右侧的 Users（用户）窗格中，查找并选中您的 Athena 测试用户，然后选择 Select（选择）。

   

5. 在 Add Assignment（添加分配）页面中，对于 Select a role（选择一个角色），选择 None Selected（未选择任何对象）。

6. 在右侧的 Select a role（选择角色）窗格中，查找并选中您的 AthenaAzureADRole。这时角色和身份提供者名称均会显示。

   

7. 选择 Select (选择)。

8. 在 Add Assignment（添加分配）页面上，选择 Assign（分配）。

   Athena Test User 会在 Amazon 单账户访问应用程序的用户列表中显示，并且分配了 AthenaAzureADRole 角色。

从 Azure AD 门户获取您的客户端和租户 ID

1. 在 Azure AD 门户的 Default Directory（默认目录）页面上，在左侧导航窗格中选择 App registrations（应用程序注册）。

2. 选择 All applications（所有应用程序）选项卡，然后选中您的应用程序。

3. 在 Essentials（基本信息）部分，找到 Application (client) ID [应用程序（客户端）ID] 和 Directory (tenant) ID [目录（租户）ID] 对应的 UUID。

4. 使用 Copy to clipboard（复制到剪贴板）图标来复制和存储这些值。您将在下一部分中使用这些值，以配置从 Athena ODBC 到 Azure AD 的连接。

配置浏览器 Azure AD ODBC 到 Athena 的连接

1. 为 Athena 安装 ODBC 驱动程序。有关下载链接，请参阅 通过 ODBC 连接到 Amazon Athena。

2. 在 Windows 中，启动 ODBC 数据源程序。

3. 在 ODBC 数据源管理器程序中，选择 Add（添加）。

   

4. 选择 Simba Athena ODBC 驱动程序，然后选择 Finish（完成）。

   

5. 在 SIMBA Athena ODBC 驱动程序 DSN 设置对话框中，输入描述的值。

   • 对于 Data Source Name（数据源名称），输入数据源的名称（例如，Athena ODBC 64）。

   • 在 Description（说明）中，为数据源输入说明。

   • 对于 Amazon Region（Amazon 区域）,输入您正在使用的 Amazon 区域（例如 us-west-1）。

   • 在 S3 Output Location（S3 输出位置）中，输入要存储输出的 Amazon S3 路径。

6. 选择 Authentication Options（身份验证选项）。

7. 在 Authentication Options（身份验证选项）对话框中，选择或输入描述的值。

   

   • 对于 Authentication Type（身份验证类型），选择下列选项中的一个：

     • 如果您使用 MFA，则选择 BrowserAzureAD。

     • 如果您未使用 MFA，则选择 BrowserAzureAD 或 AzureAD。

   • 对于 User（用户），输入 Azure AD 用户名称。

   • 对于 Password（密码），请输入 Azure AD 密码。

   • 对于 Tenant ID（租户 ID），输入您在 Azure AD 门户中从企业应用程序的 Overview（概述）页面复制的 Directory (tenant) ID [目录（租户）ID] 值。

   • 对于 Client ID（客户端 ID），输入您在 Azure AD 门户中从企业应用程序的 Overview（概述）页面复制的 Application (client) ID [应用程序（客户端）ID] 值。

8. 选择 OK（确定）。

9. 选择 Test（测试）以测试连接，或者 OK（确定）以完成。