Je kunt SURFconext gebruiken om in te loggen op de console van je AWS-omgeving die je bij SURFcumulus afneemt via de OCRE-aanbesteding. Hiervoor is wel wat configuratiewerk nodig aan de zijde van je AWS-omgeving en bij SURFconext.

Voor AWS maken we gebruik van de AWS SSO service. Met deze service kunnen gebruikers via SURFconext inloggen op de aangewezen AWS-accounts en/of AWS applicaties.

Belangrijk om te weten

De AWS SSO service werkt met eigen gebruikers, groepen en rechten. Deze staan los van de normale IAM-rollen binnen AWS. Beide systemen kunnen naast elkaar gebruikt worden.
Identificatie gebeurt op basis van het e-mailadres dat SURFconext doorgeeft. De username in AWS SSO moet daarom gelijk zijn aan dit e-mailadres.
De metadata file van SURFconext is aangepast voor AWS, deze kun je hieronder terugvinden.
Het SURFconext team moet enige maatwerk verrichten. Als je het SP dashboard gebruikt is het dus belangrijk om een mail te sturen naar support@surfconext.nl.

Configuratie bij AWS

Stappen

Log in op je AWS management account en zoek naar AWS SSO:

In het welkomstscherm kies je voor ‘enable AWS SSO’. Je komt dan in het volgende scherm terecht.

Pas de user portal URL aan indien gewenst, dit kan alleen nu nog:

Ga vervolgens naar Settings -> change Identity Source:

Kies hier voor external identity provider:

Download de metadata file voor gebruik in sp.surfconext.nl. Het is ook mogelijk deze direct naar support@surfconext.nl te sturen als je geen toegang hebt tot het SP Dashboard.

De IdP metadata file van SURFconext is aangepast voor AWS (AWS ondersteunt alleen de "HTTP-POST" binding, die bij SURFconext default niet in de metadata staat omdat dat nonstandaard is - maar wel ondersteund wordt). Gebruik daarom dit bestand: