AWS SSO与G Suite用户同步工具：SSO Sync 深度指南

---

项目介绍

SSO Sync 是由 AWS Labs 开发的一款开源工具，旨在无缝集成您的 G Suite（现称为Google Workspace）用户和组至 AWS Single Sign-On (AWS SSO)。该工具提供了命令行界面 (CLI) 和 AWS Lambda 集成选项，实现从Google Workspace到AWS SSO用户的单向同步。它不仅支持添加新用户和组，还能处理用户移除操作，确保AWS SSO中的身份与G Suite保持一致。值得注意的是，此项目目前不支持Azure AD，并且在与AWS Control Tower集成时需谨慎处理，因为Control Tower创建的用户和组可能被SSO Sync覆盖。

项目快速启动

步骤一：环境准备

首先，确保您已经配置了AWS IAM Identity Center并在管理账户中设置了相关权限。接下来，创建一个用于管理IAM Identity Center的链接账户，并将管理员权限委托给这个账户。

步骤二：安装与配置

1. 克隆项目：

   git clone https://github.com/awslabs/ssosync.git
   

2. 构建SSO Sync CLI：

   cd ssosync/
   make go-build
   

3. 获取必要凭证：

   • AWS SSO SCIM API访问令牌。
   • Google Workspace的凭据文件路径，或设置对应环境变量。

4. 运行同步命令：

   ./ssosync \
       --access-token <your_sso_access_token> \
       --google-admin <google_admin_email> \
       --google-credentials credentials.json
   

Lambda部署（可选）

• 可通过AWS Serverless Application Repository部署Lambda函数以实现自动化定期同步。记得检查Lambda及CloudWatch日志的费用，并了解SLA是否满足您的需求。

应用案例和最佳实践

• 自动用户管理：在大型企业中，自动将Google Workspace的用户同步到AWS SSO，简化了新员工入职和离职时的身份管理。
• 细粒度控制：利用过滤条件仅同步特定用户或组，保持AWS SSO目录的整洁。
• 周期性同步策略：通过Lambda定时执行，确保组织架构变更即时反映到AWS SSO，增强安全性与便捷性。

典型生态项目

虽然本项目专注于G Suite与AWS SSO的集成，其生态系统可以扩展到任何需要自定义身份同步的场景。例如，结合AWS Control Tower管理多账户环境时，需特别注意避免覆盖自动创建的用户和组，并期待未来版本对手动创建的用户/组提供更灵活的处理方式。

---

以上就是关于 SSO Sync 的快速入门指导，包括基础介绍、快速部署步骤、适用场景以及其在AWS生态中的位置。通过本指南，您可以快速上手，提升身份管理和云资源访问的安全与效率。