基于电子邮件域创建 AWS IAM 用户

Question

我正在设置一个 AWS 账户，该账户将被一个员工组织用于 EC2 使用/实验。显然，我不想分发根登录信息或设置一个 IAM 用户供所有人使用。不幸的是，我没有时间定期为每个人创建单独的 IAM 用户。

那么，有没有办法在首次登录尝试时根据给定电子邮件的域自动创建 IAM 用户？用户应该具有只读角色开始，然后管理员可以根据需要为每个用户分配更多角色。我愿意接受建议，也许是 lambda 函数或链接到身份提供者？

请记住，这些新的 IAM 用户需要能够访问 AWS 管理控制台，这不一定是为了登录 AWS 上托管的应用程序。

更新：

继续使用亚马逊代码参考中的AWS Management Console Federation Proxy Sample，与 Microsoft Exchange 托管电子邮件一起使用。

Answer 1

如果您现有的身份提供商支持 SAML2 联合，您可以将其设置为登录 AWS 管理控制台。

更多详情请咨询Enabling SAML 2.0 Federated Users to Access the AWS Management Console。

否则，您可以在用户使用公司凭据进行身份验证后，实施自定义联合代理向用户返回 URL。

更多详情请咨询Creating a URL that Enables Federated Users to Access the AWS Management Console (Custom Federation Broker)。