Configure las credenciales del proveedor de token de IAM Identity Center AWS CLI para utilizar con la actualización automática de la autenticación

Para configurar un perfil del Centro de identidades de IAM y sso-session para la AWS CLI

1. Recopile la información del Centro de identidades de IAM realizando lo siguiente:

   1. En su portal de AWS acceso, seleccione el conjunto de permisos que utiliza para el desarrollo y, a continuación, seleccione el enlace Claves de acceso.

   2. En el cuadro de diálogo Obtener credenciales, elija la pestaña que corresponda a su sistema operativo.

   3. Elija el método de credenciales del centro de identidades de IAM para obtener los valores SSO Start URL y SSO Region que necesita para ejecutar aws configure sso.

   4. Para obtener información sobre qué ámbitos se deben registrar, consulte los ámbitos de acceso de OAuth 2.0 en la Guía del usuario del centro de identidades de IAM.

2. En el terminal que prefiera, ejecute el aws configure sso comando e indique la URL de inicio del Centro de Identidad de IAM y la AWS región que aloja el directorio del Centro de Identidad.

   $ aws configure sso
   SSO session name (Recommended): my-sso
   SSO start URL [None]: https://my-sso-portal.awsapps.com/start
   SSO region [None]: us-east-1
   SSO registration scopes [None]: sso:account:access

3. AWS CLI Intenta abrir el navegador predeterminado e iniciar el proceso de inicio de sesión en tu cuenta del IAM Identity Center.

   Attempting to automatically open the SSO authorization page in your default browser.

   Si AWS CLI no puede abrir el navegador, aparece el siguiente mensaje con instrucciones sobre cómo iniciar manualmente el proceso de inicio de sesión.

   If the browser does not open or you wish to use a different device to authorize this request, open the following URL:
    
   https://device.sso.us-west-2.amazonaws.com/
   
   Then enter the code:
   
   QCFK-N451

   IAM Identity Center utiliza el código para asociar la sesión de IAM Identity Center con la sesión de la AWS CLI actual. La página del navegador del Centro de identidades de IAM le pedirá que inicie sesión con sus credenciales del Centro de identidades de IAM. Esto le da permiso AWS CLI para recuperar y mostrar las AWS cuentas y funciones que está autorizado a utilizar en el Centro de identidades de IAM.

   nota

   Es posible que el proceso de inicio de sesión le pida que permita el AWS CLI acceso a sus datos. Dado que AWS CLI se basa en el SDK para Python, los mensajes de permiso pueden contener variaciones del botocore nombre.

4. AWS CLI Muestra las AWS cuentas disponibles para su uso. Si está autorizado a usar solo una cuenta, AWS CLI selecciona esa cuenta automáticamente y omite la solicitud. Las AWS cuentas que puede utilizar vienen determinadas por su configuración de usuario en el Centro de identidades de IAM.

   There are 2 AWS accounts available to you.
   > DeveloperAccount, developer-account-admin@example.com (123456789011) 
     ProductionAccount, production-account-admin@example.com (123456789022)

   Utilice las teclas de flecha para seleccionar la cuenta que desea utilizar. El carácter «>» de la izquierda apunta a la opción actual. Pulse INTRO para realizar la selección.

5. AWS CLI Confirma su elección de cuenta y muestra las funciones de IAM que tiene disponibles en la cuenta seleccionada. Si la cuenta seleccionada solo incluye un rol, AWS CLI selecciona ese rol automáticamente y omite la solicitud. Los roles que están disponibles para su uso están determinadas por su configuración de usuario en IAM Identity Center.

   Using the account ID 123456789011
   There are 2 roles available to you.
   > ReadOnly
     FullAccess

   Utilice las teclas de flecha para seleccionar el rol de IAM que desea utilizar y pulse <INTRO>.

6. Especifique el formato de salida predeterminado, la Región de AWS predeterminada a la que enviar comandos y proporcione un nombre para el perfil a fin de que pueda hacer referencia a este perfil entre todos los definidos en el equipo local. En el ejemplo siguiente, el usuario introduce una región predeterminada, un formato de salida predeterminado y el nombre del perfil. Si ya tiene una configuración, también puede pulsar <ENTER> para seleccionar los valores predeterminados que se muestran entre corchetes. El nombre del perfil sugerido es el número de ID de cuenta seguido de un guion bajo seguido del nombre del rol.

   CLI default client Region [None]: us-west-2<ENTER>
   CLI default output format [None]: json<ENTER>
   CLI profile name [123456789011_ReadOnly]: my-dev-profile<ENTER>

   nota

   Si lo especifica default como nombre de perfil, este perfil pasará a ser el que se utilice siempre que ejecute un AWS CLI comando y no especifique un nombre de perfil.

7. Un mensaje final describe la configuración del perfil completada.

   To use this profile, specify the profile name using --profile, as shown:
   
   aws s3 ls --profile my-dev-profile

8. Esto da como resultado la creación de una sección sso-session y un perfil con un nombre en ~/.aws/config similar al siguiente:

   [profile my-dev-profile]
   sso_session = my-sso
   sso_account_id = 123456789011
   sso_role_name = readOnly
   region = us-west-2
   output = json
   
   [sso-session my-sso]
   sso_region = us-east-1
   sso_start_url = https://my-sso-portal.awsapps.com/start
   sso_registration_scopes = sso:account:access

   Ahora puede utilizar este sso-session y el perfil para solicitar credenciales actualizadas. Utilice el comando aws sso login para solicitar y recuperar realmente las credenciales necesarias para ejecutar comandos. Para ver instrucciones, consulte Usar un perfil con nombre del Centro de identidades de IAM .