Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
# Provider di identità esterni
Con IAM Identity Center, puoi connettere le identità della tua forza lavoro esistenti provenienti da provider di identità esterni (IdPs) tramite i protocolli Security Assertion Markup Language (SAML) 2.0 e System for Cross-Domain Identity Management (SCIM). Ciò consente agli utenti di accedere al portale di accesso con le proprie credenziali aziendali. AWS Possono quindi accedere agli account, ai ruoli e alle applicazioni assegnati ospitati in ambienti esterni IdPs.
Ad esempio, puoi connettere un IdP esterno come Okta oMicrosoft Entra ID, a IAM Identity Center. Gli utenti possono quindi accedere al portale di AWS accesso con le proprie Microsoft Entra ID credenziali Okta o esistenti. Per controllare cosa possono fare gli utenti una volta effettuato l'accesso, è possibile assegnare loro le autorizzazioni di accesso centralmente a tutti gli account e le applicazioni dell'organizzazione. AWS Inoltre, gli sviluppatori possono semplicemente accedere a AWS Command Line Interface (AWS CLI) utilizzando le credenziali esistenti e trarre vantaggio dalla generazione e dalla rotazione automatiche delle credenziali a breve termine.
Se si utilizza una directory autogestita in Active Directory o una AWS Managed Microsoft AD, vedere. [Microsoft ADelenco](manage-your-identity-source-ad.md)
**Nota**
Il protocollo SAML non fornisce un modo per interrogare l'IdP per conoscere utenti e gruppi. Pertanto, è necessario rendere IAM Identity Center consapevole di tali utenti e gruppi inserendoli in IAM Identity Center.
## Provisioning quando gli utenti provengono da un IdP esterno
Quando si utilizza un IdP esterno, è necessario effettuare il provisioning di tutti gli utenti e i gruppi applicabili in IAM Identity Center prima di poter effettuare qualsiasi assegnazione o applicazione. Account AWS A tale scopo, puoi configurare o utilizzare [Esegui il provisioning di utenti e gruppi da un provider di identità esterno utilizzando SCIM](provision-automatically.md) i tuoi utenti e gruppi. [Fornitura manuale](provision-automatically.md#provision-manually) Indipendentemente dalla modalità di provisioning degli utenti, IAM Identity Center reindirizza l' Console di gestione AWS interfaccia a riga di comando e l'autenticazione delle applicazioni al tuo IdP esterno. IAM Identity Center concede quindi l'accesso a tali risorse in base alle policy create in IAM Identity Center. Per ulteriori informazioni sul provisioning, consulta. [Assegnazione di ruoli a utenti e gruppi](users-groups-provisioning.md#user-group-provision)
**Topics**
+ [Provisioning quando gli utenti provengono da un IdP esterno](#provisioning-when-external-idp)
+ [Come connettersi a un provider di identità esterno](how-to-connect-idp.md)
+ [Come modificare i metadati di un provider di identità esterno in IAM Identity Center](how-to-change-idp-metadata.md)
+ [Utilizzo della federazione delle identità SAML e SCIM con provider di identità esterni](other-idps.md)
+ [Profilo SCIM e implementazione SAML 2.0](scim-profile-saml.md)
# Come connettersi a un provider di identità esterno
Esistono diversi prerequisiti, considerazioni e procedure di approvvigionamento per i dispositivi esterni supportati. IdPs Sono disponibili step-by-step tutorial per diversi argomenti: IdPs
+ [CyberArk](cyberark-idp.md)
+ [Google Workspace](gs-gwp.md)
+ [JumpCloud](jumpcloud-idp.md)
+ [Microsoft Entra ID](idp-microsoft-entra.md)
+ [Okta](gs-okta.md)
+ [OneLogin](onelogin-idp.md)
+ [Ping Identity](pingidentity.md)
Per ulteriori informazioni sulle considerazioni relative alle applicazioni esterne IdPs supportate da IAM Identity Center, consulta[Utilizzo della federazione delle identità SAML e SCIM con provider di identità esterni](other-idps.md).
La procedura seguente fornisce una panoramica generale della procedura utilizzata con tutti i provider di identità esterni.
**Per connettersi a un provider di identità esterno**
1. Apri la [console Centro identità IAM](https://console.aws.amazon.com/singlesignon).
1. Seleziona **Impostazioni**.
1. Nella pagina **Impostazioni**, scegli la scheda **Origine dell'identità**, quindi scegli **Azioni > Cambia fonte di identità**.
1. In **Scegli l'origine dell'identità**, seleziona **Provider di identità esterno**, quindi scegli **Avanti**.
1. In **Configura provider di identità esterno**, procedi come segue:
1. In **Metadati del fornitore** di servizi, scegli **Scarica il file di metadati** per scaricare il file di metadati e salvarlo sul tuo sistema. Il file di metadati SAML di IAM Identity Center è richiesto dal tuo provider di identità esterno.
**Nota**
Il file di metadati SAML che scarichi contiene sia il servizio di asserzione consumer (ACS) IPv4 -only che quello dual-stack. URLs Inoltre, se il tuo IAM Identity Center viene replicato in altre regioni, il file di metadati contiene ACS per ogni regione aggiuntiva. URLs Se il tuo IdP esterno ha un limite al numero di ACS URLs, dovrai rimuovere l'ACS non necessario. URLs Ad esempio, se l'organizzazione ha adottato completamente gli endpoint dual-stack e non utilizza più IP4v solo gli endpoint, è possibile rimuovere questi ultimi. Un approccio alternativo consiste nel non utilizzare il file di metadati ma nel copiare e incollare l'ACS URLs nell'IdP esterno.
1. In **Metadati del provider di identità**, scegli **Scegli file** e individua il file di metadati che hai scaricato dal tuo provider di identità esterno. Quindi carica il file. Questo file di metadati contiene il certificato x509 pubblico necessario utilizzato per considerare attendibili i messaggi inviati dall'IdP.
1. Scegli **Next (Successivo)**.
**Importante**
La modifica dell'origine da o verso Active Directory rimuove tutte le assegnazioni di utenti e gruppi esistenti. È necessario riapplicare manualmente le assegnazioni dopo aver modificato correttamente l'origine.
1. **Dopo aver letto il disclaimer e aver iniziato a procedere, inserisci ACCETTA.**
1. Scegli **Cambia fonte di identità**. Un messaggio di stato ti informa che hai cambiato correttamente l'origine dell'identità.
# Come modificare i metadati di un provider di identità esterno in IAM Identity Center
Puoi modificare i metadati del tuo provider di identità esterno che hai fornito in precedenza all'IAM Identity Center. Queste modifiche influiscono sulla capacità degli utenti di accedere e accedere alle AWS risorse tramite IAM Identity Center. La procedura seguente descrive come aggiornare i metadati dell'IdP esterno archiviati in IAM Identity Center. Per completare questa procedura, avrai bisogno di un'istanza organizzativa di IAM Identity Center. Per ulteriori informazioni, consulta [Istanze di organizzazione e account di IAM Identity Center](identity-center-instances.md).
**Per modificare i metadati di un provider di identità esterno**
1. Apri la [console Centro identità IAM](https://console.aws.amazon.com/singlesignon).
1. Seleziona **Impostazioni**.
1. Nella pagina **Impostazioni**, scegli la scheda **Origine dell'identità**. Scegli **Azioni**, quindi scegli **Gestisci autenticazione**.
1. Nella sezione Metadati del **provider di identità, scegli Modifica metadati** **IdP**. Puoi apportare le modifiche all'URL di accesso dell'IdP e/o all'URL dell'emittente IdP per il tuo IdP esterno in questa pagina. Scegli **Salva modifiche** dopo aver apportato tutte le modifiche necessarie.
# Utilizzo della federazione delle identità SAML e SCIM con provider di identità esterni
IAM Identity Center implementa i seguenti protocolli basati su standard per la federazione delle identità:
+ SAML 2.0 per l'autenticazione degli utenti
+ SCIM per il provisioning
Qualsiasi provider di identità (IdP) che implementa questi protocolli standard dovrebbe interagire con successo con IAM Identity Center, con le seguenti considerazioni speciali:
+ **SAML**
+ IAM Identity Center richiede un indirizzo e-mail in formato SAML NameID (ovvero,). `urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress`
+ [Il valore del campo NameID nelle asserzioni deve essere una stringa conforme a RFC 2822 ([https://tools.ietf.org/html/rfc2822) addr-spec («») (/rfc2822 \$1section -3.4.1](https://tools.ietf.org/html/rfc2822)). `name@domain.com` https://tools.ietf.org/html](https://tools.ietf.org/html/rfc2822#section-3.4.1)
+ Il file di metadati non può contenere più di 75000 caratteri.
+ I metadati devono contenere un EntityID, un certificato X509 e SingleSignOnService come parte dell'URL di accesso.
+ Una chiave di crittografia non è supportata.
+ IAM Identity Center non supporta la firma delle richieste di autenticazione SAML inviate a siti esterni IdPs.
+ L'IdP deve supportare il Multiple Assertion Consumer Service (ACS) URLs se prevedi di replicare IAM Identity Center in altre regioni e sfruttare appieno i vantaggi di un IAM Identity Center multiregionale. Per ulteriori informazioni, consulta [Utilizzo di IAM Identity Center su più Regioni AWS](multi-region-iam-identity-center.md). L'utilizzo di un singolo URL ACS può influire sull'esperienza utente in altre regioni. La tua regione principale continuerà a funzionare normalmente. Per ulteriori informazioni sull'esperienza utente in altre regioni con un unico URL ACS, consulta [Utilizzo di applicazioni AWS gestite senza più ACS URLs](multi-region-workforce-access.md#aws-app-use-without-multiple-acs-urls) e[Account AWS resilienza di accesso senza più ACS URLs](multi-region-failover.md#account-access-resiliency-without-multiple-acs-url).
+ **SCIM**
+ [L'implementazione di IAM Identity Center SCIM si basa su SCIM RFCs 7642 ([https://tools.ietf.org/html/rfc7642), 7643 (/rfc7643](https://tools.ietf.org/html/rfc7642)) e 7644 ([https://tools.ietf.org/html/rfc7644](https://tools.ietf.org/html/rfc7643)) e sui requisiti di interoperabilità stabiliti nella bozza di marzo 2020 del [https://tools.ietf.org/htmlBasic SCIM Profile 1.0 (\$1rfc .section.4](https://tools.ietf.org/html/rfc7644)). FastFed https://openid.net/specs/fastfed-scim-1\$10-02.html](https://openid.net/specs/fastfed-scim-1_0-02.html#rfc.section.4) Eventuali differenze tra questi documenti e l'attuale implementazione in IAM Identity Center sono descritte nella sezione [Operazioni API supportate](https://docs.aws.amazon.com/singlesignon/latest/developerguide/supported-apis.html) della *Guida per gli sviluppatori di IAM Identity Center SCIM Implementation*.
IdPs i prodotti che non sono conformi agli standard e alle considerazioni sopra menzionati non sono supportati. Contatta il tuo IdP per domande o chiarimenti sulla conformità dei suoi prodotti a questi standard e considerazioni.
In caso di problemi nel connettere il tuo IdP a IAM Identity Center, ti consigliamo di controllare:
+ AWS CloudTrail **registra filtrando il nome dell'evento Login ExternalId PDirectory**
+ Registri specifici per IDP, registri and/or di debug
+ [Risoluzione dei problemi relativi a IAM Identity Center](troubleshooting.md)
**Nota**
Alcuni IdPs, come quelli inclusi in[Tutorial sulle fonti di identità di IAM Identity Center](tutorials.md), offrono un'esperienza di configurazione semplificata per IAM Identity Center sotto forma di «applicazione» o «connettore» creato appositamente per IAM Identity Center. Se il tuo IdP offre questa opzione, ti consigliamo di utilizzarla, facendo attenzione a scegliere l'elemento creato specificamente per IAM Identity Center. Altri elementi denominati «AWS», «AWS federazione» o nomi «AWS" generici simili possono utilizzare and/or endpoint con approcci federativi diversi e potrebbero non funzionare come previsto con IAM Identity Center.
# Profilo SCIM e implementazione SAML 2.0
Sia SCIM che SAML sono considerazioni importanti per la configurazione di IAM Identity Center.
## Implementazione SAML 2.0
IAM Identity Center supporta la federazione delle identità con [SAML (Security Assertion Markup](https://wiki.oasis-open.org/security) Language) 2.0. Ciò consente a IAM Identity Center di autenticare le identità di provider di identità esterni (). IdPs SAML 2.0 è uno standard aperto utilizzato per lo scambio sicuro di asserzioni SAML. SAML 2.0 trasmette informazioni su un utente tra un'autorità SAML (chiamata provider di identità o IdP) e un consumatore SAML (chiamato service provider o SP). Il servizio IAM Identity Center utilizza queste informazioni per fornire un single sign-on federato. Il Single Sign-On consente agli utenti di accedere Account AWS e configurare le applicazioni in base alle credenziali esistenti del provider di identità.
IAM Identity Center aggiunge funzionalità SAML IdP al tuo archivio AWS Managed Microsoft AD IAM Identity Center o a un provider di identità esterno. Gli utenti possono quindi accedere tramite Single Sign-On ai servizi che supportano SAML, incluse le applicazioni Console di gestione AWS e quelle di terze parti come, e. Microsoft 365 Concur Salesforce
Il protocollo SAML, tuttavia, non fornisce un modo per interrogare l'IdP per conoscere utenti e gruppi. Pertanto, è necessario rendere IAM Identity Center consapevole di tali utenti e gruppi inserendoli in IAM Identity Center.
## Profilo SCIM
IAM Identity Center fornisce supporto per lo standard System for Cross-domain Identity Management (SCIM) v2.0. SCIM mantiene le identità del tuo IAM Identity Center sincronizzate con le identità del tuo IdP. Ciò include il provisioning, gli aggiornamenti e il deprovisioning degli utenti tra il gestore dell'identità digitale e il Centro identità IAM.
Per ulteriori informazioni su come implementare SCIM, consulta. [Esegui il provisioning di utenti e gruppi da un provider di identità esterno utilizzando SCIM](provision-automatically.md) Per ulteriori dettagli sull'implementazione SCIM di IAM Identity Center, consulta la [IAM Identity Center SCIM Implementation](https://docs.aws.amazon.com/singlesignon/latest/developerguide/what-is-scim.html) Developer Guide.
**Topics**
+ [Implementazione SAML 2.0](#samlfederationconcept)
+ [Profilo SCIM](#scim-profile)
+ [Esegui il provisioning di utenti e gruppi da un provider di identità esterno utilizzando SCIM](provision-automatically.md)
+ [Ruota i certificati SAML 2.0](managesamlcerts.md)
# Esegui il provisioning di utenti e gruppi da un provider di identità esterno utilizzando SCIM
IAM Identity Center supporta il provisioning automatico (sincronizzazione) di informazioni su utenti e gruppi dal tuo provider di identità (IdP) a IAM Identity Center utilizzando il protocollo System for Cross-domain Identity Management (SCIM) v2.0. Quando configuri la sincronizzazione SCIM, crei una mappatura degli attributi utente del tuo provider di identità (IdP) agli attributi denominati in IAM Identity Center. Ciò fa sì che gli attributi previsti corrispondano tra IAM Identity Center e il tuo IdP. Puoi configurare questa connessione nel tuo IdP utilizzando il tuo endpoint SCIM per IAM Identity Center e un token bearer che crei in IAM Identity Center.
**Topics**
+ [Considerazioni sull'utilizzo del provisioning automatico](#auto-provisioning-considerations)
+ [Come monitorare la scadenza dei token di accesso](#access-token-expiry)
+ [Genera un token di accesso](generate-token.md)
+ [Abilita il provisioning automatico](how-to-with-scim.md)
+ [Eliminare un token di accesso](delete-token.md)
+ [Disabilita il provisioning automatico](disable-provisioning.md)
+ [Ruota un token di accesso](rotate-token.md)
+ [Verifica e riconcilia le risorse con provisioning automatico](reconcile-auto-provisioning.md)
+ [Fornitura manuale](#provision-manually)
## Considerazioni sull'utilizzo del provisioning automatico
Prima di iniziare a implementare SCIM, ti consigliamo di esaminare innanzitutto le seguenti importanti considerazioni su come funziona con IAM Identity Center. Per ulteriori considerazioni sul provisioning, consulta la sezione [Tutorial sulle fonti di identità di IAM Identity Center](tutorials.md) applicabile al tuo IdP.
+ Se stai fornendo un indirizzo email principale, il valore di questo attributo deve essere unico per ogni utente. In alcuni casi IdPs, l'indirizzo e-mail principale potrebbe non essere un indirizzo e-mail reale. Ad esempio, potrebbe essere un Universal Principal Name (UPN) che assomiglia solo a un'e-mail. Questi IdPs possono avere un indirizzo e-mail secondario o «altro» che contiene l'indirizzo e-mail reale dell'utente. Devi configurare SCIM nel tuo IdP per mappare l'indirizzo email univoco non NULL all'attributo dell'indirizzo email primario di IAM Identity Center. Inoltre, devi mappare l'identificatore di accesso univoco non NULL degli utenti all'attributo del nome utente di IAM Identity Center. Verifica se il tuo IdP ha un unico valore che è sia l'identificatore di accesso che il nome e-mail dell'utente. In tal caso, puoi mappare il campo IdP sia all'e-mail principale di IAM Identity Center che al nome utente IAM Identity Center.
+ Affinché la sincronizzazione SCIM funzioni, ogni utente deve avere un valore **specificato per nome**, **cognome, nome** **utente** e **nome visualizzato**. Se uno di questi valori non è presente in un utente, a quell'utente non verrà assegnato alcun ruolo.
+ Se devi utilizzare applicazioni di terze parti, dovrai prima mappare l'attributo del soggetto SAML in uscita all'attributo del nome utente. Se l'applicazione di terze parti richiede un indirizzo e-mail instradabile, devi fornire l'attributo email al tuo IdP.
+ Gli intervalli di provisioning e aggiornamento di SCIM sono controllati dal tuo provider di identità. Le modifiche agli utenti e ai gruppi nel tuo provider di identità si riflettono in IAM Identity Center solo dopo che il provider di identità ha inviato tali modifiche a IAM Identity Center. Rivolgiti al tuo provider di identità per i dettagli sulla frequenza degli aggiornamenti di utenti e gruppi.
+ Attualmente, SCIM non fornisce attributi multivalore (come email o numeri di telefono multipli per un determinato utente). I tentativi di sincronizzare gli attributi multivalore in IAM Identity Center con SCIM falliranno. Per evitare errori, assicurati che venga passato un solo valore per ogni attributo. Se hai utenti con attributi multivalore, rimuovi o modifica le mappature degli attributi duplicati in SCIM presso il tuo IdP per la connessione a IAM Identity Center.
+ Verifica che la mappatura `externalId` SCIM del tuo IdP corrisponda a un valore unico, sempre presente e con meno probabilità di modifica per i tuoi utenti. Ad esempio, il tuo IdP potrebbe fornire un identificatore garantito `objectId` o di altro tipo che non è influenzato dalle modifiche agli attributi utente come nome ed email. In tal caso, puoi mappare quel valore nel campo `externalId` SCIM. In questo modo i tuoi utenti non perderanno AWS diritti, assegnazioni o autorizzazioni se devi cambiare il loro nome o indirizzo email.
+ Utenti che non sono ancora stati assegnati a un'applicazione o che non Account AWS possono essere inseriti in IAM Identity Center. Per sincronizzare utenti e gruppi, assicurati che siano assegnati all'applicazione o a un'altra configurazione che rappresenti la connessione del tuo IdP a IAM Identity Center.
+ Il comportamento di deprovisioning degli utenti è gestito dal provider di identità e può variare in base all'implementazione. Rivolgiti al tuo provider di identità per i dettagli sul deprovisioning degli utenti.
+ Dopo aver configurato il provisioning automatico con SCIM per il tuo IdP, non puoi più aggiungere o modificare utenti nella console IAM Identity Center. Se devi aggiungere o modificare un utente, devi farlo dalla tua fonte di identità o IdP esterna.
Per ulteriori informazioni sull'implementazione SCIM di IAM Identity Center, consulta la [IAM Identity Center SCIM Implementation](https://docs.aws.amazon.com/singlesignon/latest/developerguide/what-is-scim.html) Developer Guide.
## Come monitorare la scadenza dei token di accesso
I token di accesso SCIM vengono generati con una validità di un anno. Quando il token di accesso SCIM è impostato per scadere tra 90 giorni o meno, ti AWS invia promemoria nella console IAM Identity Center e tramite la AWS Health Dashboard per aiutarti a ruotare il token. Ruotando il token di accesso SCIM prima della scadenza, garantisci continuamente la fornitura automatica delle informazioni su utenti e gruppi. Se il token di accesso SCIM scade, la sincronizzazione delle informazioni su utenti e gruppi dal provider di identità in IAM Identity Center si interrompe, quindi il provisioning automatico non può più effettuare aggiornamenti o creare ed eliminare informazioni. L'interruzione del provisioning automatico può comportare maggiori rischi per la sicurezza e influire sull'accesso ai servizi.
I promemoria della console di Identity Center persistono finché non si ruota il token di accesso SCIM e si eliminano i token di accesso non utilizzati o scaduti. Gli eventi del AWS Health Dashboard vengono rinnovati settimanalmente da 90 a 60 giorni, due volte a settimana da 60 a 30 giorni, tre volte alla settimana da 30 a 15 giorni e ogni giorno da 15 giorni fino alla scadenza dei token di accesso SCIM.
# Genera un token di accesso
Utilizza la seguente procedura per generare un nuovo token di accesso nella console IAM Identity Center.
**Nota**
Questa procedura richiede che il provisioning automatico sia stato precedentemente abilitato. Per ulteriori informazioni, consulta [Abilita il provisioning automatico](how-to-with-scim.md).
**Per generare un nuovo token di accesso**
1. Nella [console IAM Identity Center](https://console.aws.amazon.com/singlesignon), scegli **Impostazioni** nel riquadro di navigazione a sinistra.
1. Nella pagina **Impostazioni**, scegli la scheda **Identity source**, quindi scegli **Azioni > Gestisci il provisioning**.
1. **Nella pagina **Provisioning automatico**, in Token di **accesso, scegli Genera token**.**
1. Nella finestra di dialogo **Genera nuovo token di accesso**, copia il nuovo token di accesso e salvalo in un posto sicuro.
1. Scegli **Chiudi**.
# Abilita il provisioning automatico
Utilizza la seguente procedura per abilitare il provisioning automatico di utenti e gruppi dal tuo IdP a IAM Identity Center utilizzando il protocollo SCIM.
**Nota**
Prima di iniziare questa procedura, ti consigliamo di esaminare innanzitutto le considerazioni sul provisioning applicabili al tuo IdP. Per ulteriori informazioni, consulta la pagina [Tutorial sulle fonti di identità di IAM Identity Center](tutorials.md) dedicata al tuo IdP.
**Per abilitare il provisioning automatico in IAM Identity Center**
1. Dopo aver completato i prerequisiti, apri la console [IAM Identity Center](https://console.aws.amazon.com/singlesignon).
1. Scegli **Impostazioni** nel riquadro di navigazione a sinistra.
1. Nella pagina **Impostazioni**, individua la casella Informazioni sulla **fornitura automatica**, quindi scegli **Abilita.** Ciò abilita immediatamente il provisioning automatico in IAM Identity Center e visualizza le informazioni necessarie sull'endpoint SCIM e sul token di accesso.
1. Nella finestra di dialogo di **provisioning automatico in entrata**, copia l'endpoint SCIM e il token di accesso. Dovrai incollarli più tardi quando configuri il provisioning nel tuo IdP.
1. **Endpoint SCIM: ad esempio**, https://scim. *us-east-2*.amazonaws.com/ /scim/v2 *11111111111-2222-3333-4444-555555555555*
1. ****Token di accesso: scegli Mostra token per copiare il valore.****
**avvertimento**
Questa è l'unica volta in cui puoi ottenere l'endpoint SCIM e il token di accesso. Assicurati di copiare questi valori prima di andare avanti. Inserirai questi valori per configurare il provisioning automatico nel tuo IdP più avanti in questo tutorial.
1. Scegli **Chiudi**.
Dopo aver completato questa procedura, è necessario configurare il provisioning automatico nel proprio IdP. Per ulteriori informazioni, consulta la pagina [Tutorial sulle fonti di identità di IAM Identity Center](tutorials.md) dedicata al tuo IdP.
# Eliminare un token di accesso
Utilizza la seguente procedura per eliminare un token di accesso esistente nella console IAM Identity Center.
**Per eliminare un token di accesso esistente**
1. Nella [console IAM Identity Center](https://console.aws.amazon.com/singlesignon), scegli **Impostazioni** nel riquadro di navigazione a sinistra.
1. Nella pagina **Impostazioni**, scegli la scheda **Identity source**, quindi scegli **Azioni > Gestisci il provisioning**.
1. **Nella pagina **Provisioning automatico**, in **Token di accesso**, seleziona il token di accesso che desideri eliminare, quindi scegli Elimina.**
1. Nella finestra di dialogo **Elimina token di accesso**, esaminate le informazioni, digitate **DELETE**, quindi scegliete **Elimina token di accesso**.
# Disabilita il provisioning automatico
Utilizza la seguente procedura per disabilitare il provisioning automatico nella console IAM Identity Center.
**Importante**
È necessario eliminare il token di accesso prima di iniziare questa procedura. Per ulteriori informazioni, consulta [Eliminare un token di accesso](delete-token.md).
**Per disabilitare il provisioning automatico nella console IAM Identity Center**
1. Nella [console IAM Identity Center](https://console.aws.amazon.com/singlesignon), scegli **Impostazioni** nel riquadro di navigazione a sinistra.
1. Nella pagina **Impostazioni**, scegli la scheda **Identity source**, quindi scegli **Azioni > Gestisci il provisioning**.
1. **Nella pagina **Provisioning automatico**, scegli Disabilita.**
1. Nella finestra di dialogo **Disabilita il provisioning automatico**, esaminate le informazioni, digitate **DISABLE, quindi scegliete Disabilita** **il provisioning automatico**.
# Ruota un token di accesso
Una directory IAM Identity Center supporta fino a due token di accesso alla volta. Per generare un token di accesso aggiuntivo prima di qualsiasi rotazione, elimina tutti i token di accesso scaduti o non utilizzati.
Se il token di accesso SCIM sta per scadere, puoi utilizzare la seguente procedura per ruotare un token di accesso esistente nella console IAM Identity Center.
**Per ruotare un token di accesso**
1. Nella [console IAM Identity Center](https://console.aws.amazon.com/singlesignon), scegli **Impostazioni** nel riquadro di navigazione a sinistra.
1. Nella pagina **Impostazioni**, scegli la scheda **Identity source**, quindi scegli **Azioni > Gestisci il provisioning**.
1. Nella pagina **Provisioning automatico**, in **Token di accesso**, prendi nota dell'ID del token che desideri ruotare.
1. Segui i passaggi indicati [Genera un token di accesso](generate-token.md) per creare un nuovo token. Se hai già creato il numero massimo di token di accesso SCIM, dovrai prima eliminare uno dei token esistenti.
1. Vai al sito web del tuo provider di identità e configura il nuovo token di accesso per il provisioning SCIM, quindi verifica la connettività a IAM Identity Center utilizzando il nuovo token di accesso SCIM. Dopo aver confermato che il provisioning funziona correttamente utilizzando il nuovo token, continua con il passaggio successivo di questa procedura.
1. Segui i passaggi indicati [Eliminare un token di accesso](delete-token.md) per eliminare il vecchio token di accesso annotato in precedenza. Puoi anche utilizzare la data di creazione del token come suggerimento su quale token rimuovere.
# Verifica e riconcilia le risorse con provisioning automatico
SCIM ti consente di effettuare automaticamente il provisioning di utenti, gruppi e appartenenze ai gruppi dalla tua fonte di identità a IAM Identity Center. Questa guida ti aiuta a verificare e riconciliare queste risorse per mantenere una sincronizzazione accurata.
## Perché controllare le tue risorse?
Un controllo regolare aiuta a garantire che i controlli di accesso rimangano accurati e che il tuo provider di identità (IdP) rimanga correttamente sincronizzato con IAM Identity Center. Ciò è particolarmente importante per la conformità alla sicurezza e la gestione degli accessi.
Risorse che puoi controllare:
+ Utenti
+ Gruppi
+ Appartenenze ai gruppi
È possibile utilizzare i [comandi AWS Identity Store [APIs](https://docs.aws.amazon.com/singlesignon/latest/IdentityStoreAPIReference/welcome.html)o CLI](https://docs.aws.amazon.com/cli/latest/reference/identitystore/) per eseguire il controllo e la riconciliazione. Negli esempi seguenti vengono utilizzati AWS CLI i comandi. Per le alternative alle API, fai riferimento alle [operazioni corrispondenti](https://docs.aws.amazon.com/singlesignon/latest/IdentityStoreAPIReference/API_Operations.html) nel *riferimento all'API di Identity Store*.
## Come controllare le risorse
Ecco alcuni esempi su come controllare queste risorse utilizzando AWS CLI i comandi.
Prima di iniziare, assicurati di disporre dei seguenti elementi:
+ Accesso dell'amministratore a IAM Identity Center.
+ AWS CLI installato e configurato. Per informazioni, consulta la [https://docs.aws.amazon.com/cli/latest/userguide/cli-chap-welcome.html](https://docs.aws.amazon.com/cli/latest/userguide/cli-chap-welcome.html).
+ Autorizzazioni IAM richieste per i comandi Identity Store.
### Fase 1: Elenca le risorse correnti
È possibile visualizzare le risorse correnti utilizzando il AWS CLI.
**Nota**
Quando si utilizza AWS CLI, l'impaginazione viene gestita automaticamente a meno che non venga specificato. `--no-paginate` Se stai chiamando direttamente l'API (ad esempio, con un SDK o uno script personalizzato), gestiscila `NextToken` nella risposta. In questo modo puoi recuperare tutti i risultati su più pagine.
**Example per gli utenti**
```
aws identitystore list-users \
--region REGION \
--identity-store-id IDENTITY_STORE_ID
```
**Example per gruppi**
```
aws identitystore list-groups \
--region REGION \
--identity-store-id IDENTITY_STORE_ID
```
**Example per appartenenze a gruppi**
```
aws identitystore list-group-memberships \
--region REGION \
--identity-store-id IDENTITY_STORE_ID
--group-id GROUP_ID
```
### Fase 2: confrontalo con la fonte della tua identità
Confronta le risorse elencate con la tua fonte di identità per identificare eventuali discrepanze, ad esempio:
+ Risorse mancanti che devono essere fornite in IAM Identity Center.
+ Risorse aggiuntive che devono essere rimosse da IAM Identity Center.
**Example per gli utenti**
```
# Create missing users
aws identitystore create-user \
--identity-store-id IDENTITY_STORE_ID \
--user-name USERNAME \
--display-name DISPLAY_NAME \
--name GivenName=FIRST_NAME,FamilyName=LAST_NAME \
--emails Value=EMAIL,Primary=true
# Delete extra users
aws identitystore delete-user \
--identity-store-id IDENTITY_STORE_ID \
--user-id USER_ID
```
**Example per gruppi**
```
# Create missing groups
aws identitystore create-group \
--identity-store-id IDENTITY_STORE_ID \
[group attributes]
# Delete extra groups
aws identitystore delete-group \
--identity-store-id IDENTITY_STORE_ID \
--group-id GROUP_ID
```
**Example per appartenenze a gruppi**
```
# Add missing members
aws identitystore create-group-membership \
--identity-store-id IDENTITY_STORE_ID \
--group-id GROUP_ID \
--member-id '{"UserId": "USER_ID"}'
# Remove extra members
aws identitystore delete-group-membership \
--identity-store-id IDENTITY_STORE_ID \
--membership-id MEMBERSHIP_ID
```
## Considerazioni
+ I comandi sono soggetti alle [quote di servizio e alla limitazione delle API](limits.md#ssothrottlelimits).
+ Se riscontri molte differenze durante la riconciliazione, apporta piccole modifiche graduali a Identity Store. AWS Questo ti aiuta a evitare errori che riguardano più utenti.
+ La sincronizzazione SCIM può ignorare le modifiche manuali. Controlla le impostazioni del tuo IdP per comprendere questo comportamento.
## Fornitura manuale
Alcuni IdPs non dispongono del supporto System for Cross-domain Identity Management (SCIM) o hanno un'implementazione SCIM incompatibile. In questi casi, puoi effettuare manualmente il provisioning degli utenti tramite la console IAM Identity Center. Quando aggiungi utenti a IAM Identity Center, assicurati di impostare il nome utente in modo che sia identico al nome utente che hai nel tuo IdP. Come minimo, devi avere un indirizzo email e un nome utente univoci. Per ulteriori informazioni, consulta [Unicità del nome utente e dell'indirizzo e-mail](users-groups-provisioning.md#username-email-unique).
È inoltre necessario gestire tutti i gruppi manualmente in IAM Identity Center. Per fare ciò, crei i gruppi e li aggiungi utilizzando la console IAM Identity Center. Non è necessario che questi gruppi corrispondano a quelli esistenti nel tuo IdP. Per ulteriori informazioni, consulta [Gruppi](users-groups-provisioning.md#groups-concept).
# Ruota i certificati SAML 2.0
IAM Identity Center utilizza i certificati per configurare una relazione di fiducia SAML tra IAM Identity Center e il tuo provider di identità esterno (IdP). Quando aggiungi un IdP esterno in IAM Identity Center, devi anche ottenere almeno un certificato SAML 2.0 X.509 pubblico dall'IdP esterno. Tale certificato viene in genere installato automaticamente durante lo scambio di metadati IdP SAML durante la creazione di trust.
In qualità di amministratore di IAM Identity Center, a volte dovrai sostituire i vecchi certificati IdP con quelli più recenti. Ad esempio, potrebbe essere necessario sostituire un certificato IdP quando si avvicina la data di scadenza del certificato. Il processo di sostituzione di un certificato precedente con uno più recente viene definito rotazione dei certificati.
**Topics**
+ [Ruota un certificato SAML 2.0](rotatesamlcert.md)
+ [Indicatori dello stato di scadenza del certificato](samlcertexpirationindicators.md)
# Ruota un certificato SAML 2.0
Potrebbe essere necessario importare i certificati periodicamente per modificare i certificati non validi o scaduti emessi dal tuo provider di identità. Questo aiuta a prevenire interruzioni o tempi di inattività dell'autenticazione. Tutti i certificati importati sono automaticamente attivi. I certificati devono essere eliminati solo dopo aver verificato che non siano più utilizzati dal provider di identità associato.
È inoltre necessario considerare che alcuni IdPs potrebbero non supportare più certificati. In questo caso, la rotazione dei certificati con questi dati IdPs potrebbe comportare un'interruzione temporanea del servizio per gli utenti. Il servizio viene ripristinato quando la fiducia con quell'IdP è stata ristabilita con successo. Pianifica attentamente questa operazione durante le ore non di punta, se possibile.
**Nota**
Come best practice di sicurezza, in caso di segni di compromissione o cattiva gestione di un certificato SAML esistente, dovresti immediatamente rimuovere e ruotare il certificato.
La rotazione di un certificato IAM Identity Center è un processo in più fasi che prevede quanto segue:
+ Ottenere un nuovo certificato dall'IdP
+ Importazione del nuovo certificato in IAM Identity Center
+ Attivazione del nuovo certificato nell'IdP
+ Eliminazione del certificato precedente
Utilizza tutte le seguenti procedure per completare il processo di rotazione dei certificati evitando al contempo interruzioni dell'autenticazione.
**Passaggio 1: ottenere un nuovo certificato dall'IdP**
Vai al sito Web IdP e scarica il certificato SAML 2.0. Assicurati che il file del certificato sia scaricato in formato codificato PEM. La maggior parte dei provider consente di creare più certificati SAML 2.0 nell'IdP. È probabile che questi vengano contrassegnati come disabilitati o inattivi.
**Fase 2: Importa il nuovo certificato in IAM Identity Center**
Utilizza la seguente procedura per importare il nuovo certificato utilizzando la console IAM Identity Center.
1. Nella [console IAM Identity Center](https://console.aws.amazon.com/singlesignon), scegli **Impostazioni**.
1. Nella pagina **Impostazioni**, scegli la scheda **Origine dell'identità**, quindi scegli **Azioni > Gestisci l'autenticazione**.
1. Nella pagina **Gestisci certificati SAML 2.0**, scegli **Importa certificato**.
1. Nella finestra di dialogo **Importa certificato SAML 2.0**, scegli **Scegli file**, vai al file del certificato e selezionalo, quindi scegli **Importa** certificato.
A questo punto, IAM Identity Center considererà attendibili tutti i messaggi SAML in entrata firmati da entrambi i certificati che hai importato.
**Fase 3: Attiva il nuovo certificato nell'IdP**
Torna al sito Web IdP e contrassegna il nuovo certificato creato in precedenza come principale o attivo. A questo punto tutti i messaggi SAML firmati dall'IdP dovrebbero utilizzare il nuovo certificato.
**Fase 4: Eliminare il vecchio certificato**
Utilizza la procedura seguente per completare il processo di rotazione dei certificati per il tuo IdP. Nell'elenco deve sempre essere presente almeno un certificato valido che non può essere rimosso.
**Nota**
Assicurati che il tuo provider di identità non firmi più le risposte SAML con questo certificato prima di eliminarlo.
1. Nella pagina **Gestisci i certificati SAML 2.0**, scegli il certificato che desideri eliminare. Scegli **Elimina**.
1. **Nella finestra di dialogo **Elimina certificato SAML 2.0**, digita **DELETE** per confermare, quindi scegli Elimina.**
1. Torna al sito Web dell'IdP ed esegui i passaggi necessari per rimuovere il vecchio certificato inattivo.
# Indicatori dello stato di scadenza del certificato
La pagina **Gestisci i certificati SAML 2.0** mostra le icone colorate degli indicatori di stato nella colonna **Scade il** accanto a ciascun certificato nell'elenco. Di seguito vengono descritti i criteri utilizzati da IAM Identity Center per determinare quale icona viene visualizzata per ogni certificato.
+ **Rosso**: indica che un certificato è scaduto.
+ **Giallo**: indica che un certificato scade dopo 90 giorni o meno.
+ **Verde**: indica che un certificato è valido e rimane valido per almeno altri 90 giorni.
**Per verificare lo stato attuale di un certificato**
1. Nella [console IAM Identity Center](https://console.aws.amazon.com/singlesignon), scegli **Impostazioni**.
1. Nella pagina **Impostazioni**, scegli la scheda **Origine dell'identità**, quindi scegli **Azioni > Gestisci l'autenticazione**.
1. Nella pagina **Gestisci l'autenticazione SAML 2.0**, in **Gestisci i certificati SAML 2.0**, esamina lo stato dei certificati nell'elenco, come indicato nella colonna **Scade** il.