AWS QuickSight多租户实现及用户登录权限问题咨询

已执行操作步骤 #

• 创建IAM用户
• 在default命名空间注册用户：

  aws quicksight register-user --namespace default --identity-type QUICKSIGHT --user-role ADMIN --region us-east-1 --email=jill@foocompany.com --user-name jill --aws-account-id 163
  

• 创建自定义命名空间：

  aws quicksight create-namespace  --aws-account-id 163 --namespace FooCompanyNamespace --identity-store QUICKSIGHT
  

• 在自定义命名空间注册同名用户：

  aws quicksight register-user --namespace FooCompanyNamespace --identity-type QUICKSIGHT --user-role AUTHOR --region us-east-1 --email=jill@foocompany.com --user-name jill --aws-account-id 163
  

问题分析与解决 #

1. 自定义命名空间无法登录的原因 #

使用QUICKSIGHT身份类型的用户登录时，必须指定命名空间的专属登录URL，默认登录入口会直接进入default命名空间。正确的登录URL格式为：

https://<区域>.quicksight.aws.amazon.com/sn/namespace/<命名空间名称>

以你的场景为例，FooCompanyNamespace的登录URL是：

https://us-east-1.quicksight.aws.amazon.com/sn/namespace/FooCompanyNamespace

2. 同一用户在多命名空间是否需要不同IAM用户？ #

不需要。你当前使用的是--identity-type QUICKSIGHT，这类用户由QuickSight内部身份存储管理，与你创建的IAM用户无关联——之前创建的IAM用户在这个流程里并未实际参与用户认证。

多租户架构（namespace1/namespace2）的正确配置方案 #

步骤1：创建两个自定义命名空间 #

# 创建namespace1
aws quicksight create-namespace --aws-account-id 163 --namespace namespace1 --identity-store QUICKSIGHT
# 创建namespace2
aws quicksight create-namespace --aws-account-id 163 --namespace namespace2 --identity-store QUICKSIGHT

步骤2：在两个命名空间注册同一用户并分配对应权限 #

• 在namespace1注册为管理员（ADMIN角色）：

  aws quicksight register-user --namespace namespace1 --identity-type QUICKSIGHT --user-role ADMIN --region us-east-1 --email=user1@yourdomain.com --user-name user1 --aws-account-id 163
  

• 在namespace2注册为只读用户（READER角色）：

  aws quicksight register-user --namespace namespace2 --identity-type QUICKSIGHT --user-role READER --region us-east-1 --email=user1@yourdomain.com --user-name user1 --aws-account-id 163
  

步骤3：用户登录对应命名空间 #

• 访问namespace1专属登录URL：https://us-east-1.quicksight.aws.amazon.com/sn/namespace/namespace1，使用user1的账号登录，即可获得管理员权限
• 访问namespace2专属登录URL：https://us-east-1.quicksight.aws.amazon.com/sn/namespace/namespace2，使用同一账号登录，即可获得只读权限

内容的提问来源于stack exchange，提问作者Karan Goyal