Consideraciones sobre la duración de la sesión para usar fuentes de identidad, el AWS CLI y AWS SDK

AWS Managed Microsoft AD: Si utiliza la opción AWS Managed Microsoft AD configurada en AWS Directory Service, la duración máxima de los tickets Kerberos de los usuarios se fija en 10 horas. Por lo tanto, la duración de la sesión interactiva con el usuario se establece como la duración más corta de la configuración del Centro de identidad de IAM, que es de 10 horas. Por ejemplo, si establece la duración de la sesión interactiva del usuario en 12 horas, los usuarios deberán volver a autenticarse en el portal de AWS acceso transcurridas 10 horas. El mismo límite de 10 horas se aplica a las sesiones prolongadas de Kiro.

Conector AD: si utilizas el conector AD configurado en AWS Directory Service, la duración máxima de los tickets Kerberos de los usuarios se define en Microsoft AD detrás del conector AD. El valor predeterminado es de 10 horas y tiene el mismo efecto en las sesiones interactivas de los usuarios y en las sesiones prolongadas que para AWS Managed Microsoft AD. Si bien este límite se puede configurar en Microsoft AD, le recomendamos que colabore con su administrador de TI para considerar los riesgos, especialmente porque esta configuración puede afectar a la duración de la sesión en otras aplicaciones cliente de Microsoft AD.

Si no SessionNotOnOrAfter se introduce una afirmación de SAML, la duración de una sesión del portal de AWS acceso (interactiva con el usuario) y de una sesión extendida no se verá afectada por la duración de la sesión del IdP externo. Por ejemplo, si la duración de su sesión de IdP es de 24 horas y usted establece una duración de 18 horas en IAM Identity Center, los usuarios deberán volver a autenticarse en el portal de acceso transcurridas 18 horas. AWS Del mismo modo, si estableces una sesión extendida de 90 días para Kiro, tus usuarios de Kiro deberán volver a autenticarse transcurridos 90 días.

Si SessionNotOnOrAfter se transfiere una afirmación de SAML, el valor de duración de la sesión se establece como la duración más corta entre la sesión del portal de AWS acceso (interactivo con el usuario) o la sesión extendida y la duración de la sesión de tu IdP de SAML. Si estableces una sesión de 72 horas en IAM Identity Center y tu IdP tiene una duración de sesión de 18 horas, tus usuarios tendrán acceso a los AWS recursos durante las 18 horas definidas en tu IdP. Del mismo modo, si estableces una sesión extendida de 90 días para Kiro, tus usuarios de Kiro deberán volver a autenticarse en Kiro transcurridas 18 horas.

Si la duración de la sesión de su IdP es superior a la establecida en IAM Identity Center, sus usuarios podrán iniciar una nueva sesión en IAM Identity Center sin tener que volver a introducir sus credenciales, en función de la sesión de inicio de sesión aún válida con su IdP.

Debe configurar la duración de la sesión del portal de AWS acceso en la consola del IAM Identity Center.

Debes definir un perfil para la configuración del inicio de sesión único en tu archivo de configuración compartido AWS . Este perfil se usa para conectarse al portal de AWS acceso. Le recomendamos que utilice la configuración del proveedor de tokens de SSO. Con esta configuración, el AWS SDK o la herramienta pueden recuperar automáticamente los tokens de autenticación actualizados. Para obtener más información, consulte Configuración del proveedor de tokens de SSO en la Guía de referencia de los SDK y las herramientas de AWS .

Los usuarios deben ejecutar una versión del SDK AWS CLI o un SDK que admita la administración de sesiones.

AWS CLI V2 2.9 o posterior

AWS CLI V1 1.27.10 o posterior