Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Fournisseur d'informations d'identification IAM Identity Center

Ce mécanisme d'authentification permet AWS IAM Identity Center d'obtenir l'accès à l'authentification unique (SSO) Services AWS pour votre code.

Après avoir activé IAM Identity Center, vous définissez un profil pour ses paramètres dans votre AWS config fichier partagé. Ce profil est utilisé pour se connecter au portail d'accès à l'IAM Identity Center. Lorsqu'un utilisateur s'authentifie avec succès auprès d'IAM Identity Center, le portail renvoie des informations d'identification à court terme pour le rôle IAM associé à cet utilisateur. Pour savoir comment le SDK obtient des informations d'identification temporaires à partir de la configuration et les utilise pour les Service AWS demandes, consultezComment l'authentification IAM Identity Center est-elle résolue AWS SDKs et quels outils ?.

Il existe deux manières de configurer IAM Identity Center via le config fichier :

Dans les deux configurations, vous devez vous reconnecter à l'expiration de votre session.

Les deux guides suivants contiennent des informations supplémentaires sur IAM Identity Center :

Pour en savoir plus sur la manière dont les kits de développement logiciel et les outils utilisent et actualisent les informations d'identification à l'aide de cette configuration, consultezComment l'authentification IAM Identity Center est-elle résolue AWS SDKs et quels outils ?.

Conditions préalables

Vous devez d'abord activer IAM Identity Center. Pour plus d'informations sur l'activation de l'authentification IAM Identity Center, consultez la section Activation AWS IAM Identity Center dans le Guide de AWS IAM Identity Center l'utilisateur.

Configuration du fournisseur de jetons SSO

Lorsque vous utilisez la configuration du fournisseur de jetons SSO, votre AWS SDK ou outil actualise automatiquement votre session jusqu'à la durée de votre session prolongée. Pour plus d'informations sur la durée de session et la durée maximale, voir Configurer la durée de session du portail d' AWS accès et des applications intégrées IAM Identity Center dans le Guide de l'AWS IAM Identity Center utilisateur.

La sso-session section du config fichier est utilisée pour regrouper les variables de configuration pour l'acquisition de jetons d'accès SSO, qui peuvent ensuite être utilisés pour acquérir des AWS informations d'identification. Pour plus de détails sur cette section d'un config fichier, consultezFormat du fichier de configuration.

L'exemple de config fichier partagé suivant configure le SDK ou l'outil à l'aide d'un dev profil pour demander les informations d'identification IAM Identity Center.

[profile dev]
sso_session = my-sso
sso_account_id = 111122223333
sso_role_name = SampleRole

[sso-session my-sso]
sso_region = us-east-1
sso_start_url = https://my-sso-portal.awsapps.com/start
sso_registration_scopes = sso:account:access

Les exemples précédents montrent que vous définissez une sso-session section et que vous l'associez à un profil. Généralement, sso_account_id et sso_role_name doit être défini dans la profile section pour que le SDK puisse demander des AWS informations d'identification. sso_regionsso_start_url, et sso_registration_scopes doit être défini dans la sso-session section.

sso_account_idet sso_role_name ne sont pas obligatoires pour tous les scénarios de configuration de jetons SSO. Si votre application utilise Services AWS uniquement l'authentification du support, les informations d' AWS identification traditionnelles ne sont pas nécessaires. L’authentification par jeton de porteur est un schéma d’authentification HTTP qui utilise des jetons de sécurité appelés jetons de porteur. Dans ce scénario, sso_account_id et sso_role_name ne sont pas obligatoires. Consultez le Service AWS guide individuel pour déterminer si le service prend en charge l'autorisation des jetons au porteur.

Les étendues d'enregistrement sont configurées dans le cadre d'unsso-session. Scope est un mécanisme visant OAuth 2.0 à limiter l'accès d'une application au compte d'un utilisateur. L'exemple précédent définit les paramètres sso_registration_scopes de manière à fournir l'accès nécessaire pour répertorier les comptes et les rôles.

L'exemple suivant montre comment réutiliser la même sso-session configuration sur plusieurs profils.

[profile dev]
sso_session = my-sso
sso_account_id = 111122223333
sso_role_name = SampleRole

[profile prod]
sso_session = my-sso
sso_account_id = 111122223333
sso_role_name = SampleRole2

[sso-session my-sso]
sso_region = us-east-1
sso_start_url = https://my-sso-portal.awsapps.com/start
sso_registration_scopes = sso:account:access

Le jeton d'authentification est mis en cache sur le disque dans le ~/.aws/sso/cache répertoire avec un nom de fichier basé sur le nom de session.

Configuration héritée non actualisable

L’actualisation automatique des jetons n’est pas prise en charge avec la configuration non actualisable héritée. Nous vous recommandons de l'utiliser à la Configuration du fournisseur de jetons SSO place.

Pour utiliser l'ancienne configuration non actualisable, vous devez spécifier les paramètres suivants dans votre profil :

Vous spécifiez le portail utilisateur pour un profil à l'aide sso_start_url des sso_region paramètres et. Vous définissez les autorisations à l'aide sso_account_id des sso_role_name paramètres et.

L'exemple suivant définit les quatre valeurs requises dans le config fichier.

[profile my-sso-profile]
sso_start_url = https://my-sso-portal.awsapps.com/start
sso_region = us-west-2
sso_account_id = 111122223333
sso_role_name = SSOReadOnlyRole

Le jeton d'authentification est mis en cache sur le disque dans le ~/.aws/sso/cache répertoire avec un nom de fichier basé sursso_start_url.

Paramètres du fournisseur d'informations d'identification IAM Identity Center

Soutenu par AWS Kits SDK et outils

Les kits SDK suivants prennent en charge les fonctionnalités et les paramètres décrits dans cette rubrique. Toutes les exceptions partielles sont notées. Tous les paramètres de propriété du système JVM sont pris en charge par le AWS SDK pour Java et le AWS SDK pour Kotlin seul.