IAM联邦（即身份联合）是让用户通过企业身份管理系统或社交账号直接访问云资源的技术，它省去了创建和管理本地IAM用户的麻烦，同时实现单点登录和集中权限控制。
联邦IAM是什么？它解决了什么问题
联邦IAM的核心是把外部身份提供商（IdP）作为信任源，云平台不再单独管理用户密码，只负责授权，当用户登录时，IdP验证身份并签发一个临时凭证，云平台据此授予权限，这种方式解决了传统多账号环境下密码重复输入、权限分散、无法统一审计的痛点。
联邦IAM的核心原理
- 信任关系建立：云平台通过元数据文件与IdP建立信任,双方交换签名证书。
- 身份断言传递：IdP在用户登录后生成一个包含用户属性（如邮箱、组）的SAML断言或OIDC令牌。
- 临时凭证下发：云平台验证断言后，为用户生成一个临时访问密钥，有效期通常1-12小时。
- 权限控制：根据断言中的角色或属性映射到云平台内预定义权限策略。
联邦IAM和单点登录（SSO）的区别
很多用户混淆了这两个概念，单点登录是联邦IAM的直接结果,但联邦IAM的范围更广。
| 对比维度 | 联邦IAM | 传统SSO（如CAS） |
|---|---|---|
| 信任范围 | 跨组织、跨云平台 | 通常限于同一企业内 |
| 身份源 | 第三方IdP（如Azure AD、Okta） | 企业自建AD或LDAP |
| 安全协议 | 标准SAML 2.0、OIDC | 多种私有协议 |
| 适用场景 | 多云环境、合作伙伴访问 | 企业内部应用 |
联邦IAM的配置步骤详解：以AWS为例
配置联邦IAM是很多团队的实际需求，但步骤细节容易出错，下面以AWS和SAML身份提供商为例,给出完整操作路径。
在AWS IAM中创建SAML身份提供商
- 登录AWS IAM控制台，左侧导航选择“身份提供商”。
- 点击“添加提供商”，选择“SAML”。
- 提供商名称设为“企业IdP”（可自定义）。
- 上传从IdP获取的元数据XML文件,包含实体ID和SSO服务端点。
- 点击“添加”,完成信任建立。
创建IAM角色关联SAML访问
- 在IAM角色页面，点击“创建角色”。
- 选择“SAML 2.0 联合身份”,选择刚才创建的IdP。
- 按需勾选“允许控制台访问”和“允许编程访问”。
- 附加对应权限策略，AmazonS3ReadOnlyAccess”。
- 设置角色名称,点击创建。
在IdP侧配置应用和属性映射
- 在Azure AD或Okta中添加AWS应用，使用AWS提供的ACS URL和受众URI。
- 配置用户属性映射，特别是将“角色”属性映射到AWS角色的ARN。
- 设置用户或组的分配,确保只有被授权用户能使用联邦登录。
常见配置错误及解决方法
- 断言签名证书过期：确保IdP证书未过期,且与AWS上传的元数据一致。
- 角色ARN不匹配：检查属性映射中角色值是否与IAM角色ARN完全一致,包括大小写。
- 时效冲突：AWS和IdP的时钟偏差超过5分钟会导致验证失败,同步NTP时间。
联邦IAM在主流云平台的应用差异
不同云平台对联邦IAM的支持细节不同,了解这些差异能帮助技术选型。
AWS IAM联邦特点
- 支持SAML 2.0和OIDC两种协议，其中SAML主要用于企业用户,OIDC用于Web应用。
- 临时凭证有效期最长12小时，可通过“会话持续时间”参数调整。
- 支持跨账户角色切换,通过设置信任策略实现多账号联邦。
Azure AD联邦
- 原生集成Azure AD作为IdP，无需额外配置，默认支持SAML 2.0。
- 提供条件访问策略，能根据设备状态、地理位置等要素动态控制权限。
- 与其他Microsoft服务（如Office 365）无缝联动,适合微软生态企业。
简米云RAM联邦
- 支持SAML 2.0协议,但要求IdP必须上传元数据文件。
- 角色信任策略中需指定“SAML:aud”条件,限制只能从特定IdP登录。
- 提供“登录目标”设置,可指定用户登录后直接跳转到某个控制台页面。
联邦IAM的成本与价格因素
使用联邦IAM本身不产生额外费用，但涉及IdP服务、云平台API调用和可能的第三方工具费用。
免费与付费组件
- 云平台侧：IAM角色和身份提供商功能通常免费，但调用AssumeRoleWithSAML API会产生交易费用，AWS按百万次计费，每百万次约0.05美元,多数场景可忽略。
- IdP服务：Azure AD免费版支持SAML应用，但限制用户数；Okta、OneLogin等专业IdP按用户月费计价，一般每人每月1-5美元。
- 第三方工具：如自定义脚本或自动化工具,可能需要单独授权。
成本优化建议
- 使用云平台自带的IdP（如Azure AD）减少额外支出。
- 合理设置角色有效期,避免频繁申请令牌导致API调用增长。
- 对非生产环境使用较低频率的IdP认证,降低整体调用量。
联邦IAM的常见问题解答
关于IAM联邦与动态临时凭证的关系
联邦IAM每次访问都生成新的临时凭证，这些凭证包含访问密钥ID、秘密访问密钥和会话令牌，与IAM用户长期密钥不同，临时凭证过期后自动失效，提升了安全性,这种方式特别适合需要频繁轮换凭据的合规场景。
联邦IAM能否用于跨云联盟
可以，通过多个云平台各自信任同一个IdP，用户只需一次登录就能访问多个云资源，例如企业使用Azure AD作为统一身份源，同时配置AWS和GCP的联邦角色，实现真正的跨云单点登录，需要注意各平台对SAML断言格式的差异,可能需要调整属性映射。
配置联邦IAM时如何确保安全性
行业共识是优先使用短生命周期凭证（1小时以内），并定期轮换IdP签名证书，同时启用条件访问策略，限制只在特定IP范围或设备上允许联邦登录，不使用长期访问密钥,避免直接暴露云平台根用户凭证。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/%e5%a6%82%e4%bd%95%e5%ae%9e%e7%8e%b0iam%e7%9a%84%e8%81%94%e9%82%a6%e8%ba%ab%e4%bb%bd%e8%ae%a4%e8%af%81%ef%bc%8c%e8%81%94%e9%82%a6%e6%80%8e%e4%b9%88%e9%85%8d%e7%bd%ae%ef%bc%9f/
