Considérations relatives à la durée des sessions pour l'utilisation de sources d'identité, AWS CLI, et AWS Kits SDK

AWS Managed Microsoft AD: si vous utilisez AWS Managed Microsoft AD configuré dans AWS Directory Service, la durée de vie maximale des tickets Kerberos utilisateur est fixée à 10 heures. Par conséquent, la durée de la session interactive de l'utilisateur est définie sur la durée la plus courte entre le paramètre IAM Identity Center et 10 heures. Par exemple, si vous définissez la durée de la session interactive utilisateur sur 12 heures, vos utilisateurs doivent s'authentifier à nouveau sur le portail d' AWS accès au bout de 10 heures. La même limite de 10 heures s'applique aux sessions prolongées pour Kiro.

Connecteur AD  : si vous utilisez le connecteur AD configuré dans AWS Directory Service, la durée de vie maximale des tickets Kerberos utilisateur est définie dans Microsoft AD derrière le connecteur AD. La valeur par défaut est de 10 heures, et elle a le même effet sur les sessions interactives des utilisateurs et les sessions prolongées que pour AWS Managed Microsoft AD. Bien que cette limite soit configurable dans Microsoft AD, nous vous recommandons de consulter votre administrateur informatique pour prendre en compte les risques, notamment parce que ce paramètre peut affecter la durée de session pour d'autres applications clientes Microsoft AD.

S'il n'SessionNotOnOrAfterest pas transmis dans une assertion SAML, la durée d'une session du portail d' AWS accès (interactive avec l'utilisateur) et d'une session prolongée n'est pas affectée par la durée de votre session IdP externe. Par exemple, si la durée de votre session IdP est de 24 heures et que vous définissez une durée de session de 18 heures dans IAM Identity Center, vos utilisateurs doivent s'authentifier à nouveau sur le portail d' AWS accès au bout de 18 heures. De même, si vous définissez une session prolongée de 90 jours pour Kiro, vos utilisateurs Kiro doivent s'authentifier à nouveau au bout de 90 jours.

Si elle SessionNotOnOrAfter est transmise dans une assertion SAML, la valeur de durée de session est définie sur la durée la plus courte entre la durée de la session du portail d' AWS accès (interactive avec l'utilisateur) ou la durée de la session étendue et la durée de votre session SAML IdP. Si vous définissez une durée de session de 72 heures dans IAM Identity Center et que la durée de session de votre IdP est de 18 heures, vos utilisateurs auront accès aux AWS ressources pendant les 18 heures définies dans votre IdP. De même, si vous définissez une session prolongée de 90 jours pour Kiro, vos utilisateurs Kiro doivent s'authentifier à nouveau dans Kiro au bout de 18 heures.

Si la durée de session de votre IdP est supérieure à celle définie dans IAM Identity Center, vos utilisateurs peuvent démarrer une nouvelle session IAM Identity Center sans saisir à nouveau leurs informations d'identification, en fonction de leur session de connexion toujours valide auprès de votre IdP.

Vous devez configurer la durée de la session du portail d' AWS accès dans la console IAM Identity Center.

Vous devez définir un profil pour les paramètres d'authentification unique dans votre fichier de AWS configuration partagé. Ce profil est utilisé pour se connecter au portail AWS d'accès. Nous vous recommandons d'utiliser la configuration du fournisseur de jetons SSO. Avec cette configuration, votre AWS SDK ou outil peut récupérer automatiquement les jetons d'authentification actualisés. Pour plus d'informations, consultez la section Configuration du fournisseur de jetons SSO dans le Guide de référence du AWS SDK et des outils.

Les utilisateurs doivent exécuter une version du AWS CLI ou un SDK qui prend en charge la gestion des sessions.

AWS CLI V2 2.9 ou version ultérieure

AWS CLI V1 1.27.10 ou version ultérieure