通过 Microsoft Entra ID 集成 IAM Identity Center 实现对 Amazon Quick 的统一身份认证

摘要：企业普遍以 Microsoft Entra ID（原 Azure AD）作为身份底座。本文介绍以 Entra ID 为 IdP、AWS IAM Identity Center 为身份枢纽，实现对 Amazon Quick（Web 与 Desktop 客户端）的统一身份认证：用户和组经 SCIM 2.0 自动预配，登录认证走 SAML 2.0，Quick Desktop 通过 OIDC（授权码 + PKCE）直连 Entra ID，并按组自动映射 Admin / Author / Reader 角色。

一、背景

在企业环境中，通常使用统一身份认证（SSO）访问各内部应用，以提供一致的登录体验和集中的账号生命周期管理。Amazon Quick（由 Amazon QuickSight 演进而来的 Quick Suite 企业 AI 办公套件）支持通过 AWS IAM Identity Center 对接企业身份提供商（IdP），让员工用企业账号一键进入 Quick，并按组自动获得 Admin / Author / Reader 等角色。

Microsoft Entra ID（原 Azure AD）是大量企业正在使用的身份底座。本文介绍如何以 Entra ID 作为 IdP、IAM Identity Center 作为身份枢纽，实现对 Amazon Quick（Web 与 Desktop 客户端）的统一身份认证：

• 用户和组通过 SCIM 2.0 协议从 Entra ID 自动预配（同步）到 IAM Identity Center；
• 登录认证通过 SAML 2.0 完成；
• Quick Desktop 客户端通过 OIDC（授权码 + PKCE） 直连 Entra ID 完成企业登录。

本文思路与 通过 Okta 集成 IAM Identity Center 实现对 Amazon QuickSight 的统一身份认证 一致，但将 IdP 替换为 Entra ID，并按 Amazon Quick 最新产品形态更新了订阅与角色映射步骤。

身份验证流程

用户发起登录
   │
   ▼
Entra ID 完成身份验证，发送 SAML 断言
   │
   ▼
IAM Identity Center 验证断言，匹配（SCIM 同步来的）用户和组
   │
   ▼
Amazon Quick 根据用户所属的组映射到 Admin / Author / Reader 角色
   │
   ▼
用户进入 Amazon Quick

二、前提条件

• 一个 Microsoft Entra ID 租户，且操作账号至少具有 Cloud Application Administrator 权限。
• 一个已开启 IAM Identity Center 的 AWS 账号（建议使用 Organization 实例；如尚未开启，见下文步骤一）。
• Amazon Quick 尚未订阅，或计划新建 Quick 账户。 > 重要：Quick 账户的身份认证方式在创建后不可更改。如果现有 Quick 账户使用的是其他认证方式（如 IAM federation / Active Directory），需要先注销该账户再以 IAM Identity Center 方式重新订阅。
• 部署区域支持 Amazon Quick（如 us-east-1）。

三、步骤一：启用 IAM Identity Center

如果账号中已启用 IAM Identity Center，可跳过本步骤。

1. 登录 AWS 控制台，进入 IAM Identity Center 服务。
2. 点击 Enable（启用）。推荐选择 Enable with AWS Organizations（组织实例），这是生产环境的标准做法。
3. 启用完成后，记下 Settings 页面中的实例区域——后续所有 Identity Center 操作都要在该区域进行。

四、步骤二：在 Entra ID 中创建 AWS IAM Identity Center 企业应用

1. 登录 Microsoft Entra 管理中心。
2. 导航到 Identity → Applications → Enterprise applications，点击 New application。
3. 在 Browse Microsoft Entra Gallery 页面的搜索框中输入 AWS IAM Identity Center。
4. 在结果中选择 AWS IAM Identity Center（图库预置应用），点击 Create。

与 Okta 的 App Catalog 类似，Entra ID 图库中的这个预置应用已经内置了 SAML 和 SCIM 的模板配置，无需从零创建 Non-gallery 应用。

五、步骤三：配置 SAML 连接（双向交换 metadata）

5.1 在 IAM Identity Center 中获取服务提供商（SP）元数据

1. 打开 IAM Identity Center 控制台 → Settings。
2. 在 Identity source 标签页，点击 Actions → Change identity source。
3. 选择 External identity provider，点击 Next。
4. 在 Configure external identity provider 页面的 Service provider metadata 区域：
   • 下载 服务提供商元数据文件（IAM Identity Center SAML metadata file）；
   • 复制 AWS access portal sign-in URL 的值备用。
5. 保持此页面打开，切换到 Entra ID 完成下一小节的配置，稍后回到此页面收尾。

5.2 在 Entra ID 中配置 SAML 单点登录

1. 回到 Entra 管理中心，进入 Enterprise applications → AWS IAM Identity Center。
2. 左侧选择 Single sign-on（或向导中的 2. Set up Single sign-on），选择 SAML。
3. 点击 Upload metadata file，上传上一小节下载的 SP 元数据文件，点击 Add。
4. 在 Basic SAML Configuration 中确认以下两项已自动填入 AWS 的端点：
   • Identifier (Entity ID)：即 IAM Identity Center 的 Issuer URL；
   • Reply URL (ACS URL)：即 IAM Identity Center 的断言接收端点。
5. 在 Sign on URL (Optional) 中粘贴上一小节复制的 AWS access portal sign-in URL，点击 Save。
6. 如弹出”是否测试单点登录”，选择 No, I’ll test later。
7. 在 SAML Certificates 区域，找到 Federation Metadata XML，点击 Download 保存到本地。

5.3 在 IAM Identity Center 中上传 Entra ID 的 IdP 元数据

1. 回到第 1 小节保持打开的 IAM Identity Center 页面。
2. 在 Identity provider metadata → IdP SAML metadata 处，点击 Choose file，上传第 2 小节下载的 Federation Metadata XML。
3. 点击 Next，阅读免责声明后输入 ACCEPT。
4. 点击 Change identity source 完成切换。

至此 SAML 连接已建立：IAM Identity Center 的身份源已切换为 Entra ID。

六、步骤四：配置 SCIM 自动预配（同步用户和组）

6.1 在 IAM Identity Center 中启用自动预配

1. IAM Identity Center 控制台 → Settings → Identity source 标签页。
2. 找到 Automatic provisioning 信息框，点击 Enable。
3. 在弹出的 Inbound automatic provisioning 对话框中，复制并妥善保存：
   • SCIM endpoint（形如 https://scim.<region>.amazonaws.com/<实例ID>/scim/v2）；
   • Access token（点击 Show token 查看）。
4. 这是唯一一次能看到完整 token 的机会，务必先复制再关闭对话框。
5. 关闭对话框后，确认 Provisioning method 已显示为 SCIM。

6.2 在 Entra ID 中配置自动预配

1. Entra 管理中心 → Enterprise applications → AWS IAM Identity Center → 左侧 Provisioning。
2. Provisioning Mode 选择 Automatic。
3. 展开 Admin Credentials：
   • Tenant URL：粘贴上一小节的 SCIM endpoint；
   • Secret Token：粘贴上一小节的 Access token。
4. 点击 Test Connection，确认提示凭证验证成功，然后点击 Save。
5. 回到 Overview，点击 Start provisioning 启动同步。

Entra ID 的预配周期约为 40 分钟一轮。首次同步或新增分配后，如果急于验证，可使用 Provision on demand（按需预配）对单个用户/组立即同步。

七、步骤五：创建组并分配到应用

Amazon Quick 按组映射角色，因此必须在 Entra ID 中建组、并把组分配给 AWS IAM Identity Center 应用，让 SCIM 把组同步过去。

7.1 在 Entra ID 中创建组

导航到 Identity → Groups → All groups → New group，按需创建（组类型选 Security）。Quick 订阅时每个角色可分别映射 Pro 组和普通组，建议按最终角色规划：

不需要全部六个——按实际付费计划取舍（例如只建 quick-admin-pro、quick-author-pro、quick-reader 三个）。创建好后，把相应用户加入对应的组。

注意嵌套组限制：Entra ID 预配服务不会递归展开嵌套组——只有直接分配给应用的组中的直接成员才会被同步。请勿使用嵌套组结构；如需按规则圈人，可使用动态组（Dynamic Group，注意动态组同样不展开其内部的嵌套组）。

7.2 将组分配给 AWS IAM Identity Center 应用

1. Enterprise applications → AWS IAM Identity Center → 左侧 Users and groups。
2. 点击 Add user/group，选择上一小节创建的所有 quick-* 组，点击 Assign。

只有分配给该应用的用户/组才会被 SCIM 同步、也才能通过 SSO 登录。这一步等价于 Okta 方案中的 “Assign to Groups + Push Groups”，但 Entra ID 中分配即同步，无需单独的 Push 操作。

7.3 验证同步结果

等待一轮预配完成（或对组执行 Provision on demand）后，在 IAM Identity Center 控制台验证：

• Groups 页面能看到刚创建的各 quick-* 组，且 Created by 显示为 SCIM；
• Users 页面能看到组内成员，Created by 同样为 SCIM。

也可以用 CLI 快速核对（在 Identity Center 实例所在区域执行）：

# 取 Identity Store ID
aws sso-admin list-instances

# 列出同步过来的组
aws identitystore list-groups --identity-store-id d-xxxxxxxxxx

八、步骤六：订阅 Amazon Quick 并选择 IAM Identity Center 认证

1. 在 AWS 控制台进入 Amazon Quick（与 IAM Identity Center 实例相同的账号；区域按业务需要选择，注意部分区域仅支持 Identity Center 认证）。

2. 首次进入会看到订阅页面，填写：

• 账户名称（Account name）：Quick 账户名（全局唯一）；
• 用于接收账户通知的电子邮件：管理通知邮箱；
• 默认区域：存储数据的默认地理区域（如 US East (N. Virginia)）。

3. 身份验证方法有三个选项，选择 IAM Identity Center：

• 基于密码或单点登录（推荐）——在 Quick 中管理用户，或使用 IAM 联合身份验证；
• IAM Identity Center ← 本文选择此项；
• 仅限单点登录——仅允许 IAM 联合身份验证的用户。

4. 选中后填写 应用程序名称（将在 IAM Identity Center 中创建的 Quick 应用名，如 mycompany-quick）。

5. 配置角色组映射。控制台为每个角色提供 Pro 组和普通组两栏，共六个输入框（默认可能只显示部分，点击”显示更多角色”展开）：

控制台要求 Admin Pro（Enterprise）或 Admin 角色至少映射一个组才能完成订阅（“Add at least one group to the Admin Pro (Enterprise) or Admin role to get started”）。

组名输入的是 IAM Identity Center 中的组名（即步骤五从 Entra ID 同步过来的组）。如果规划了 Pro 角色，建议在 Entra ID 侧就按六个组规划，例如 quick-admin-pro、quick-author-pro、quick-reader。

6. 确认订阅，完成 Quick 账户创建。

组映射基于 IAM Identity Center 中的组，因此必须确保步骤五的组已成功同步，否则输入的组名无法匹配。

8.1 角色与能力对照（决定组映射和 Pro 升级）

Quick 在登录过程中根据组映射获取角色。Amazon Quick 三种基础角色（Reader / Author / Admin）× 是否 Pro = 六种角色。其中 Reader Pro 对应 Quick 的 Professional 订阅，Author Pro 和 Admin Pro 对应 Enterprise 订阅。

从表中可以看出：

• GenAI / 协作能力（AI Chat Agents、Spaces、Flows、Research、Automation）只有 Pro 角色具备。普通 Reader / Author / Admin 只覆盖传统 BI 能力。
• Pro 角色可以在订阅时直接通过组映射分配（“管理员专业组 / 作者专业组 / 读者专业组”），无需先以基础角色登录再升级。订阅后管理员也可在 Quick 管理界面（Manage users / Role groups）中调整组映射或单个用户的角色。
• 规划组时建议直接按最终角色划分：需要 AI 能力的用户放入映射到 Pro 角色的组，仅看报表的用户放入普通 Reader 组，避免多付订阅费用。

九、测试验证

9.1 IdP 发起的登录（IdP-initiated）

1. 用测试用户访问微软 My Apps 门户：https://myapps.microsoft.com。
2. 完成 Entra ID 登录后，点击 AWS IAM Identity Center 应用图标。
3. 浏览器重定向到 AWS access portal（形如 https://<subdomain>.awsapps.com/start）。
4. 在 access portal 中点击 Amazon Quick 应用，即可进入 Quick 界面。

9.2 SP 发起的登录（SP-initiated）

1. 直接访问你的 Quick 账户登录地址（形如 https://quicksight.aws.amazon.com，输入 Quick 账户名）。
2. 系统自动重定向到 Entra ID 登录页面。
3. 输入企业凭证完成认证后，自动跳回 Amazon Quick。

9.3 验证角色映射

分别用映射到各角色的组中的测试用户登录，确认：

• admin 组用户能进入 Manage account 管理界面；
• author 组用户能创建分析和数据集；
• reader 组用户只能查看被分享的内容；
• Pro 组用户能看到并使用 GenAI 能力（如 AI Chat Agents、Spaces），非 Pro 用户看不到这些入口。

十、步骤七（可选）：配置 Quick Desktop 企业登录

Quick Desktop 使用 OIDC（授权码 + PKCE）直连 Entra ID 认证，不经过 IAM Identity Center。登录成功后，Quick 用 ID token 中的 email 精确匹配账户内已有用户（即前面步骤同步/预配的用户）。认证链：

Quick Desktop → OIDC (PKCE) → Entra ID 登录 → ID token（含 email claim）
                                    │
                    Quick 用 email 匹配账户内用户 → 进入 Desktop

支持所有身份类型（IAM Identity Center / IAM federation / 原生用户），无需 Trusted Token Issuer 之类的额外配置。SSO 体验依赖的是浏览器里的 Entra 会话：登录过 Quick Web 的浏览器再授权 Desktop 时通常无需二次输密码。

10.1 在 Entra ID 中注册 Desktop 的 OIDC 应用

1. Entra ID → App registrations → New registration：

2. 注册后在 Overview 页记下 Application (client) ID 和 Directory (tenant) ID。

3. API permissions → Add a permission → Microsoft Graph → Delegated：添加 openid、email、profile、offline_access（无 offline_access 则无 refresh token，用户会频繁重登）。如组织要求，点 Grant admin consent。

4. Authentication → Advanced settings：Allow public client flows 设为 Yes（公共客户端无密钥，PKCE 自动强制）。

5. Token configuration → Add optional claim → 选 ID token → 勾选 email → Add。

此步必做，且每个用户的 Entra 个人资料里 Mail 属性必须有值（Contact Information 下）。只有 UPN 不够——email claim 取的是 Mail 属性，缺失会导致登录后 “User not found”。

6. 记录以下值（<TENANT_ID> 替换为 Directory (tenant) ID）：

Issuer URL 必须带 /v2.0 后缀。不要复制 Entra Endpoints 面板里的 “Authority URL”（它没有该后缀），否则登录时报 “Invalid issuer”。JWKS URI 在 Endpoints 面板里不显示，可按上表格式拼出，或打开 OpenID Connect metadata document 从 jwks_uri 字段取。

10.2 在 Quick 管理控制台添加 Extension access

1. 登录 Quick → Manage account → 左侧 Permissions → Extension access → Add extension access；

2. Select Service 选 Amazon Quick (Desktop application for Quick) → Next；

3. 填写上一小节记录的值：

4. 点 Add。

Extension access 创建后不可编辑。任何值填错只能删除重建，提交前逐项核对。

10.3 在 Quick 控制台创建 Extension

1. Quick 控制台左侧导航选 Extensions（看不到就点 More）；
2. Add extension → 选择上一小节创建的 Desktop extension access → Next → Create。

添加 Extension access 和创建 Extension 两步缺一不可。只加了 extension access 没创建 extension，用户登录会报 “Enterprise sign-in for Quick Desktop has not been configured for this account”。Extension 是账户级一次性配置，建好后全账户用户可用，无需按用户开启。

10.4 下载、验证与分发

1. Extensions 页选中刚创建的 Quick Desktop extension → 点 … → Download for Windows / Download for Mac；
2. 安装后打开应用，登录页选 Continue with SSO（可选择 AWS Region 或 Dynamic 自动检测）；
3. 浏览器弹出 Entra ID 登录页，用与 Quick Web 相同的企业账号（邮箱）认证，完成后回到应用主界面；
4. 验证通过后再向用户分发安装包；用户侧只需安装 + Continue with SSO，无需任何额外配置。

10.5 Desktop 常见问题

十一、注意事项与常见问题

11.1 配置注意事项

• 认证方式不可更改：Quick 账户创建后无法从其他认证方式切换到 Identity Center（反之亦然），只能注销重建。
• 以下操作不可逆、会导致所有用户无法登录 Quick，请勿随意执行：
  • 在 IAM Identity Center 控制台禁用或删除 Amazon Quick 应用；
  • 删除与 Quick 关联的 IAM Identity Center 实例；
  • 将 Quick 账户迁移到不含该 Identity Center 实例的 AWS Organization；
  • 修改 Identity Center 中 Quick 应用的属性（如 requires assignment）。
• IAM Identity Center 中已有同邮箱用户会阻塞同步：SCIM 预配时，如果 IAM Identity Center 里已存在相同邮箱的用户（例如切换身份源前手工创建的用户），Entra ID 不会同步该用户。而 SAML 登录时 IAM Identity Center 是按用户的 username 匹配 Entra ID 发来的断言（默认为 UPN/邮箱）——如果已有用户的 username 与邮箱不一致，该用户登录会报错。处理办法：把 IAM Identity Center 中的旧用户删除，让 SCIM 重新同步生成 username 为邮箱的新用户（注意：删除用户会清除其既有的权限分配和应用授权，需提前记录并在同步后重新配置）。
• 同账号下其他依赖 IAM Identity Center 的应用（如 Kiro）会一并受影响：身份源切换为 Entra ID 后，该 Identity Center 实例下所有应用（包括 Kiro 等开发工具的登录）都会随之变成 Entra ID SSO 登录。这些用户也必须在 Entra ID 侧加入 AWS IAM Identity Center 企业应用的 Users and groups 分配中（并等待 SCIM 同步完成），否则将无法登录 Kiro。
• 组必须直接分配：Entra ID 预配不展开嵌套组，只同步直接分配组的直接成员。
• SCIM token 有效期：SCIM access token 有效期为 1 年，注意在到期前在 IAM Identity Center 的 Manage provisioning 中轮换，并同步更新 Entra ID 侧的 Secret Token。
• 管理控制台权限分层：Quick 管理界面中部分功能（账户设置、KMS、VPC 等）额外要求登录者具备 IAM 权限（quicksight:*），仅有 Quick Admin 角色不够；这类操作需以具备相应 IAM 权限的身份登录 AWS 控制台操作。

11.2 常见问题排查

十二、总结

本文完整演示了以 Microsoft Entra ID 为企业身份源、通过 IAM Identity Center 实现 Amazon Quick 统一身份认证的落地步骤：

1. SAML 2.0 建立 Entra ID 与 IAM Identity Center 之间的登录信任；
2. SCIM 2.0 自动预配用户和组，实现账号生命周期的集中管理；
3. 组到角色映射在订阅 Quick 时一次配置，用户按组自动获得 Admin / Author / Reader（含 Pro）角色，GenAI 能力按需分配、成本可控；
4. 可选的 Quick Desktop 企业登录通过 OIDC + PKCE 直连 Entra ID，与 Web 侧共享同一套企业身份。

整套方案零代码、纯控制台配置即可完成。对于已经以 Entra ID 为身份底座的企业，这是让员工安全、便捷使用 Amazon Quick 的推荐路径。

➡️ 下一步行动：

相关产品：

• Amazon Quick — 人工智能助手，用于研究、业务洞察、自动化和无代码应用程序构建
• Amazon IAM — 身份管理和访问权限
• Amazon QuickSight — 高速业务分析服务
• Amazon Connect — AI 客户体验解决方案
• Amazon VPC — 隔离云网络

相关文章：

• AWS IAM Identity Center 现在支持适用于 AWS 账户访问和应用程序使用的多区域复制功能
• 基于 Amazon ECS Fargate 自建 Keycloak 作为 AWS IAM Identity Center 外部 IdP，为 Kiro 提供企业级 SSO 登录
• 使用飞书实现 Amazon Quick 统一单点登录（Web + Desktop）
• 如何实现AWS账户登录活动自动化告警和响应（二）
• 如何实现AWS账户登录活动自动化告警和响应（一）

十三、参考文档

• Configure SAML and SCIM with Microsoft Entra ID and IAM Identity Center（AWS 官方）
• Configure AWS IAM Identity Center for automatic user provisioning（Microsoft 官方）
• Amazon Quick – Using IAM Identity Center
• Set up enterprise sign-in with Microsoft Entra ID for Amazon Quick on desktop
• Troubleshooting enterprise sign-in for Amazon Quick on desktop
• 通过 Okta 集成 IAM Identity Center 实现对 Amazon QuickSight 的统一身份认证（AWS 中文博客）

*前述特定亚马逊云科技生成式人工智能相关的服务目前在亚马逊云科技海外区域可用。亚马逊云科技中国区域相关云服务由西云数据和光环新网运营，具体信息以中国区域官网为准。

本篇作者

AWS 架构师中心：云端创新的引领者 探索 AWS 架构师中心，获取经实战验证的最佳实践与架构指南，助您高效构建安全、可靠的云上应用