如何通过 AWS Identity Center 和 EntraID 作为外部 IdP 连接到 RedShift？

Question

我正在尝试为我的无服务器 Redshift 工作组设置 Identity Center 身份验证。 按照 https://docs.aws.amazon.com/redshift/latest/mgmt/redshift-iam-access-control-idp-connect.html 中的步骤，我创建了一个应用程序并添加了用户和组。我的外部 IdP 是 EntraId。 我可以通过 Identity Center 进行身份验证来连接到查询编辑器 v2，但是我也想从本地计算机使用 DBeaver 连接。正如所描述的，我正在使用驱动程序插件

com.amazon.redshift.plugin.IdpTokenAuthPlugin

。设置

token_type=EXT_JWT

时，我尝试从连接到身份中心的外部身份提供商创建令牌。我的外部 IdP 是 EntraId，因此我尝试通过

https://login.microsoftonline.com/<tenant>/oauth2/v2.0/token

上的 POST 获取令牌。但是，在插件中设置令牌时，我总是得到

token is invalid or expired

。

如何从 EntraID 获取有效的 JWT 令牌？

Answer 1

您想要的不是 idp，更新的更好的方法是集成的本机 azure oauth。根据您的 entra 组自动创建您的所有角色（而不是组），然后您可以授予特定角色范围权限。