Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
# Identità IAM
Un'identità IAM può essere associata a una o più policy, che determinano quali azioni un'identità è autorizzata a eseguire, su quali AWS risorse e in quali condizioni. Le identità IAM includono utenti IAM, ruoli IAM e gruppi IAM. Un’entità IAM è un tipo di identità che rappresenta un utente umano o un carico di lavoro programmatico che può essere autenticato e quindi autorizzato a eseguire operazioni in Account AWS. Le entità IAM includono utenti IAM e ruoli IAM. Per le definizioni dei termini di uso comune, consulta [Termini](introduction_identity-management.md#intro-structure-terms).
Puoi federare identità esistenti da un provider di identità esterno. Queste identità assumeranno ruoli IAM per accedere alle AWS risorse. Per ulteriori informazioni, consulta [Provider di identità e federazione in AWS](id_roles_providers.md).
Puoi anche utilizzarle AWS IAM Identity Center per creare e gestire identità e accedere alle AWS risorse. I set di autorizzazioni del Centro identità IAM creano automaticamente i ruoli IAM necessari per fornire l'accesso alle risorse. Per ulteriori informazioni, consulta [Cos'è il Centro identità IAM?](https://docs.aws.amazon.com/singlesignon/latest/userguide/what-is.html).
Utente root dell'account AWS È un Account AWS principio che viene creato quando Account AWS viene stabilito il tuo. L'utente root ha accesso a tutti i AWS servizi e le risorse dell'account. Per ulteriori informazioni, consulta [Utente root IAM](#id_root).
**Nota**
Segui le [best practice di sicurezza in IAM](https://docs.aws.amazon.com//IAM/latest/UserGuide/best-practices-use-cases.html) quando lavori con le identità IAM.
Segui le [best practice per l'utente root per il tuo Account AWS](root-user-best-practices.md) quando lavori con l'utente root.
Se riscontri problemi di accesso, consulta [Accedi alla Console di gestione AWS](https://docs.aws.amazon.com/signin/latest/userguide/console-sign-in-tutorials.html).
## Utente root IAM
La prima volta che si crea un account Account AWS, si inizia con un'unica identità di accesso che ha accesso completo a tutte Servizi AWS le risorse dell'account. Questa identità è chiamata *utente Account AWS root*. Per ulteriori informazioni, consulta la sezione [Utente root dell'account AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html).
## Utenti IAM
Un *utente IAM* è un'identità interna Account AWS che dispone di autorizzazioni specifiche per una singola persona o applicazione. Per ulteriori informazioni, consulta [Utenti IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html).
## Gruppi di utenti IAM
Un *gruppo di utenti IAM* è un'identità che specifica un insieme di utenti IAM. Per ulteriori informazioni, consulta [Gruppi di utenti](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html).
## Ruoli IAM
Un *ruolo IAM* è un'identità interna all'utente Account AWS che dispone di autorizzazioni specifiche. È simile a un utente IAM, ma non è associato a una persona specifica. Per ulteriori informazioni, consulta [Ruoli IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html).
# Utente root dell'account AWS
Quando crei per la prima volta un account Amazon Web Services (AWS), inizi con un'identità di accesso singolo che ha accesso completo a tutti i AWS servizi e le risorse dell'account. Questa identità è chiamata *utente root* dell' AWS account. L'indirizzo e-mail e la password che hai usato per creare il tuo Account AWS sono le credenziali che usi per accedere come utente root.
+ Ricorri all'utente root solo per eseguire le attività che richiedono le autorizzazioni a livello root. Per un elenco completo delle attività che richiedono il tuo accesso come utente root, consulta la pagina [Attività che richiedono credenziali dell'utente root](#root-user-tasks).
+ Segui le [best practice per gli utenti root per il tuo Account AWS](root-user-best-practices.md).
+ Se riscontri problemi di accesso, consulta [Accedi alla Console di gestione AWS](https://docs.aws.amazon.com/signin/latest/userguide/console-sign-in-tutorials.html).
**Importante**
Si consiglia vivamente di non utilizzare l'utente root per le attività quotidiane e di seguire le [best practice dell'utente root per il tuo Account AWS](root-user-best-practices.md). Conserva le credenziali dell’utente root e utilizzale per eseguire le operazioni che solo l’utente root può eseguire. Per un elenco completo delle attività che richiedono il tuo accesso come utente root, consulta la pagina [Attività che richiedono credenziali dell'utente root](#root-user-tasks).
Sebbene l’MFA venga applicata per impostazione predefinita per gli utenti root, è comunque necessaria un’azione da parte del cliente per aggiungere l’MFA durante la creazione iniziale dell’account o quando viene richiesto durante l’accesso. Per ulteriori informazioni sull’utilizzo dell’MFA per proteggere l’utente root, consulta [Autenticazione a più fattori per Utente root dell'account AWS](enable-mfa-for-root.md).
## Gestire centralmente l'accesso root per gli account membri
Per aiutarti a gestire le credenziali su larga scala, puoi proteggere centralmente l'accesso alle credenziali degli utenti root per gli account membri in AWS Organizations. Quando abiliti AWS Organizations, unisci tutti i tuoi AWS account in un'organizzazione per la gestione centralizzata. La centralizzazione dell'accesso root consente di rimuovere le credenziali dell'utente root e completare le seguenti attività con privilegi sugli account membri.
**Rimuovere le credenziali dell'utente root per gli account membri**
Dopo aver [centralizzato l'accesso root per gli account membri](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-enable-root-access.html), puoi scegliere di eliminare le credenziali dell'utente root dagli account membri in Organizations. Puoi rimuovere la password dell’utente root, le chiavi di accesso, i certificati per la firma e disattivare l’autenticazione a più fattori (MFA). Per impostazione predefinita, i nuovi account creati in Organizations non hanno credenziali dell'utente root. Gli account membri non possono accedere al proprio utente root o eseguirne il recupero della password a meno che non sia abilitato il recupero dell'account.
**Esegui attività con privilegi che richiedono credenziali dell'utente root.**
Alcune attività possono essere eseguite solo quando si effettua l'accesso come utente root di un account. Alcune di queste [Attività che richiedono credenziali dell'utente root](#root-user-tasks) possono essere eseguite dall'account di gestione o dall'amministratore delegato di IAM. Per ulteriori informazioni su come eseguire azioni con privilegi sugli account membri, consulta [Eseguire un'attività con privilegi](id_root-user-privileged-task.md).
**Abilitare il ripristino dell'account dell'utente root**
Se è necessario recuperare le credenziali dell'utente root per un account membro, l'account di gestione di Organizations o l'amministratore delegato può eseguire l'attività con privilegi **Consenti il recupero della password**. La persona con accesso alla casella di posta elettronica dell'utente root per l'account membro può [reimpostare la password dell'utente root](https://docs.aws.amazon.com/IAM/latest/UserGuide/reset-root-password.html) per recuperare le credenziali dell'utente root. Ti consigliamo di eliminare le credenziali dell'utente root una volta completata l'attività che richiede l'accesso all'utente root.
# Centralizzare l'accesso root per gli account dei membri
Le credenziali dell'utente root sono le credenziali iniziali assegnate a chiunque Account AWS abbia accesso completo a tutti i AWS servizi e le risorse dell'account. Quando abiliti AWS Organizations, unisci tutti i tuoi AWS account in un'organizzazione per la gestione centralizzata. Ogni account membro ha il proprio utente root con autorizzazioni predefinite per eseguire qualsiasi azione nell'account membro. Ti consigliamo di proteggere centralmente le credenziali dell'utente root di Account AWS Managed Using AWS Organizations per impedire il ripristino e l'accesso delle credenziali dell'utente root su larga scala.
Dopo aver centralizzato l'accesso root, puoi scegliere di eliminare le credenziali dell'utente root dagli account membri dell'organizzazione. Puoi rimuovere la password dell’utente root, le chiavi di accesso, i certificati per la firma e disattivare l’autenticazione a più fattori (MFA). Per impostazione predefinita, i nuovi account creati in AWS Organizations non hanno credenziali dell’utente root. Gli account dei membri non possono accedere al proprio utente root o eseguirne il recupero della password.
**Nota**
Sebbene alcune [Attività che richiedono credenziali dell'utente root](id_root-user.md#root-user-tasks) possano essere eseguite dall’account di gestione o dall’amministratore delegato per IAM, alcune attività possono essere eseguite solo quando si effettua l’accesso come utente root di un account.
Se è necessario recuperare le credenziali dell’utente root per un account membro al fine di eseguire una di queste attività, segui la procedura indicata in [Eseguire un'attività con privilegi](id_root-user-privileged-task.md) e seleziona **Consenti il recupero della password**. La persona che ha accesso alla casella di posta elettronica dell’utente root per l’account membro può quindi seguire i passaggi per [reimpostare la password dell’utente root](https://docs.aws.amazon.com/IAM/latest/UserGuide/reset-root-password.html) e accedere come utente root dell’account membro.
Ti consigliamo di eliminare le credenziali dell'utente root una volta completata l'attività che richiede l'accesso all'utente root.
## Prerequisiti
Prima di centralizzare l'accesso root, è necessario disporre di un account configurato con le seguenti impostazioni:
+ Bisogna possedere le seguenti autorizzazioni IAM:
+ `iam:GetAccessKeyLastUsed`
+ `iam:GetAccountSummary`
+ `iam:GetLoginProfile`
+ `iam:GetUser`
+ `iam:ListAccessKeys`
+ `iam:ListMFADevices`
+ `iam:ListSigningCertificates`
+ `sts:AssumeRoot`
**Nota**
Per verificare lo stato delle credenziali dell'utente root di un account membro, è possibile utilizzare la politica [IAMAuditRootUserCredentials](security-iam-awsmanpol.md#security-iam-awsmanpol-IAMAuditRootUserCredentials) AWS gestita per definire l'ambito delle autorizzazioni quando si esegue un'attività privilegiata su un account AWS Organizations membro o utilizzare qualsiasi politica con accesso a. `iam:GetAccountSummary`
Per generare il report informativo sulle credenziali dell’utente root, per le altre policy è sufficiente che l’operazione `iam:GetAccountSummary` produca lo stesso risultato. Inoltre, è possibile elencare oppure ottenere informazioni sulle credenziali dei singoli utenti root, compreso:
Se è presente una password per l’utente root
Se è presente una chiave di accesso dell’utente root e quando è stata utilizzata l’ultima volta
Se l’utente root ha certificati di firma associati
I dispositivi MFA associati all’utente root
L’elenco dello stato delle credenziali consolidate dell’utente root
+ È necessario gestire il proprio account. Account AWS [AWS Organizations](https://docs.aws.amazon.com//organizations/latest/userguide/orgs_introduction.html)
+ Per abilitare questa funzionalità nella tua organizzazione, devi disporre delle seguenti autorizzazioni:
+ `iam:EnableOrganizationsRootCredentialsManagement`
+ `iam:EnableOrganizationsRootSessions`
+ `iam:ListOrganizationsFeatures`
+ `organizations:EnableAwsServiceAccess`
+ `organizations:ListAccountsForParent`
+ `organizations:RegisterDelegatedAdministrator`
+ Per garantire una funzionalità ottimale della console, si consiglia di abilitare le seguenti autorizzazioni aggiuntive:
+ `organizations:DescribeAccount`
+ `organizations:DescribeOrganization`
+ `organizations:ListAWSServiceAccessForOrganization`
+ `organizations:ListDelegatedAdministrators`
+ `organizations:ListOrganizationalUnitsForParent`
+ `organizations:ListParents`
+ `organizations:ListTagsForResource`
## Abilitazione dell'accesso root centralizzato (console)
**Per abilitare questa funzione per gli account dei membri in Console di gestione AWS**
1. Accedi Console di gestione AWS e apri la console IAM all'indirizzo [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/).
1. Nel riquadro di navigazione della console, scegli **Gestione degli accessi root**, quindi seleziona **Abilita**.
**Nota**
Se vedi che la **gestione degli accessi root è disabilitata**, abilita l'accesso affidabile per AWS Identity and Access Management in AWS Organizations. Per i dettagli, consulta [AWS IAM e AWS Organizations](https://docs.aws.amazon.com/organizations/latest/userguide/services-that-can-integrate-iam.html) nella *Guida per l'utente di AWS Organizations *.
1. Nella sezione Funzionalità da abilitare, scegli le funzionalità da abilitare.
+ Seleziona **Gestione delle credenziali root** per consentire all'account di gestione e all'amministratore delegato di IAM di eliminare le credenziali utente root per gli account membri. È necessario abilitare le azioni root con privilegi negli account membri per consentire agli account membri di recuperare le credenziali dell'utente root dopo che sono state eliminate.
+ Seleziona **Azioni root con privilegi negli account membri** per consentire all'account di gestione e all'amministratore delegato di IAM di eseguire determinate attività che richiedono le credenziali dell'utente root.
1. (Facoltativo) Inserisci l'ID account dell'**amministratore delegato** autorizzato a gestire l'accesso degli utenti root e ad eseguire azioni con privilegi sugli account membri. Consigliamo un account destinato a scopi di sicurezza o gestione.
1. Scegli **Abilita **.
## Abilitazione dell'accesso root centralizzato (AWS CLI)
**Per abilitare l'accesso root centralizzato da AWS Command Line Interface ()AWS CLI**
1. Se non hai già abilitato l'accesso affidabile per AWS Identity and Access Management in AWS Organizations, usa il seguente comando: [aws organisations enable-aws-service-access](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/organizations/enable-aws-service-access.html).
1. Usa il seguente comando per consentire all'account di gestione e all'amministratore delegato di eliminare le credenziali dell'utente root per gli account dei membri: [aws iam enable-organizations-root-credentials](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/iam/enable-organizations-root-credentials-management.html) -management.
1. [Utilizzare il comando seguente per consentire all'account di gestione e all'amministratore delegato di eseguire determinate attività che richiedono le credenziali dell'utente root: aws iam. enable-organizations-root-sessions](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/iam/enable-organizations-root-sessions.html)
1. [(Facoltativo) Utilizzate il seguente comando per registrare un amministratore delegato: aws organisations. register-delegated-administrator](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/organizations/register-delegated-administrator.html)
L'esempio seguente assegna l'account 111111111111 come amministratore delegato per il servizio IAM.
```
aws organizations register-delegated-administrator
--service-principal iam.amazonaws.com
--account-id 111111111111
```
## Abilitazione dell'accesso root centralizzato (API)AWS
**Per abilitare l'accesso root centralizzato dall'API AWS**
1. Se non hai già abilitato l'accesso affidabile per AWS Identity and Access Management in AWS Organizations, usa il seguente comando: [Enable AWSService Access.](https://docs.aws.amazon.com/organizations/latest/APIReference/API_EnableAWSServiceAccess.html)
1. Usa il comando seguente per consentire all'account di gestione e all'amministratore delegato di eliminare le credenziali dell'utente root per gli account dei membri:. [EnableOrganizationsRootCredentialsManagement](https://docs.aws.amazon.com/IAM/latest/APIReference/API_EnableOrganizationsRootCredentialsManagement.html)
1. Utilizzare il comando seguente per consentire all'account di gestione e all'amministratore delegato di eseguire determinate attività che richiedono le credenziali dell'utente root:. [EnableOrganizationsRootSessions](https://docs.aws.amazon.com/IAM/latest/APIReference/API_EnableOrganizationsRootSessions.html)
1. (Facoltativo) Utilizzate il seguente comando per registrare un amministratore delegato:. [RegisterDelegatedAdministrator](https://docs.aws.amazon.com/organizations/latest/APIReference/API_RegisterDelegatedAdministrator.html)
## Fasi successive
Dopo aver protetto centralmente le credenziali con privilegi per gli account membri dell'organizzazione, consulta [Eseguire un'attività con privilegi](id_root-user-privileged-task.md) per eseguire le azioni con privilegi su un account membro.
# Esegui un'attività privilegiata su un account AWS Organizations membro
L'account di AWS Organizations gestione o un account amministratore delegato per IAM può eseguire alcune attività privilegiate sugli account dei membri che altrimenti richiederebbero le credenziali dell'utente root. Con l'accesso root centralizzato, queste attività vengono eseguite tramite sessioni privilegiate a breve termine. Queste sessioni forniscono credenziali temporanee destinate a specifiche azioni privilegiate, senza richiedere l'accesso dell'utente root sull'account del membro.
Una volta avviata una sessione con privilegi, puoi eliminare una policy del bucket Amazon S3 configurata in modo errato, eliminare la policy di una coda Amazon SQS non configurata correttamente, eliminare le credenziali dell'utente root per un account membro e riabilitare le credenziali dell'utente root per un account membro.
**Nota**
Per utilizzare l'accesso root centralizzato, devi accedere tramite un account di gestione o un account amministratore delegato come utente o ruolo IAM con l'autorizzazione concessa esplicitamente. `sts:AssumeRoot` Non è possibile utilizzare le credenziali dell'utente root per effettuare una chiamata. `sts:AssumeRoot`
## Prerequisiti
Prima di poter avviare una sessione con privilegi, è necessario disporre delle seguenti impostazioni:
+ Devi aver abilitato l'accesso root centralizzato nella tua organizzazione. Per le operazioni per abilitare questa funzionalità, consulta [Centralizzare l'accesso root per gli account dei membri](id_root-enable-root-access.md).
+ Il tuo account di gestione o l'account amministratore delegato deve disporre delle seguenti autorizzazioni: `sts:AssumeRoot`
## Esecuzione di un'azione con privilegi su un account membro (console)
**Per avviare una sessione di azione privilegiata in un account membro in Console di gestione AWS**
1. Accedi Console di gestione AWS e apri la console IAM all'indirizzo [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/).
1. Nel riquadro di navigazione della console, scegli **Gestione dell'accesso root**.
1. Seleziona un nome dall'elenco degli account membri e scegli **Esegui azioni con privilegi**.
1. Scegli l'azione con privilegi che desideri eseguire nell'account membro.
+ Seleziona **Elimina policy del bucket Amazon S3** per rimuovere una policy del bucket mal configurata che impedisce a tutti i principali di accedere al bucket Amazon S3.
1. Scegli **Sfoglia S3** per selezionare un nome dai bucket di proprietà dell'account membro e seleziona **Scegli**.
1. Scegli **Elimina policy del bucket**.
1. Utilizza la console Amazon S3 per correggere la policy del bucket dopo aver eliminato la policy configurata non correttamente. Per informazioni, consulta [Aggiunta di una policy del bucket utilizzando la console Amazon S3](https://docs.aws.amazon.com/AmazonS3/latest/userguide/add-bucket-policy.html) nella *Guida per l'utente di Amazon S3*.
+ Seleziona **Elimina la policy Amazon SQS** per eliminare una policy basata sulle risorse Amazon Simple Queue Service che rifiuta a tutti i principali l'accesso a una coda Amazon SQS.
1. Inserisci il nome della coda in **Nome della coda SQS** e seleziona **Elimina la policy SQS**.
1. Utilizza la console Amazon SQS per correggere la policy della coda dopo aver eliminato la policy configurata non correttamente. Per ulteriori informazioni, consulta [Configurazione di una policy di accesso in Amazon SQS](https://docs.aws.amazon.com/AWSSimpleQueueService/latest/SQSDeveloperGuide/sqs-configure-add-permissions.html) nella *Guida per gli sviluppatori di Amazon SQS*.
+ Seleziona **Elimina le credenziali root** per rimuovere l'accesso root da un account membro. L’eliminazione delle credenziali dell’utente root rimuove la password dell’utente root, le chiavi di accesso e i certificati di firma, e disattiva l’autenticazione a più fattori (MFA) per l’account membro.
1. Scegli **Elimina le credenziali root**.
+ Seleziona **Consenti il recupero della password** per recuperare le credenziali dell'utente root per un account membro.
Questa opzione è disponibile solo quando l'account membro non ha le credenziali dell'utente root.
1. Scegli **Consenti il recupero della password**.
1. Dopo aver eseguito questa azione con privilegi, la persona con accesso alla casella di posta elettronica dell'utente root per l'account membro può [reimpostare la password dell'utente root](https://docs.aws.amazon.com/IAM/latest/UserGuide/reset-root-password.html) e accedere all'utente root dell'account membro.
## Esecuzione di un'azione con privilegi su un account membro (AWS CLI)
**Per avviare una sessione di azione privilegiata in un account membro dal AWS Command Line Interface**
1. Usa il seguente comando per assumere una sessione dell'utente root: [aws sts assume-root](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/sts/assume-root.html).
**Nota**
L'endpoint globale non è supportato per `sts:AssumeRoot`. È necessario inviare questa richiesta a un AWS STS endpoint regionale. Per ulteriori informazioni, consulta [Gestisci AWS STS in un Regione AWS](id_credentials_temp_enable-regions.md).
Quando si avvia una sessione dell'utente root con privilegi per un account membro, è necessario definire l'`task-policy-arn` per limitare l'ambito della sessione all'azione con privilegi da eseguire durante la sessione. È possibile utilizzare una delle seguenti policy gestite da AWS per definire l'ambito delle azioni di sessione con privilegi.
+ [IAMAuditRootUserCredentials](security-iam-awsmanpol.md#security-iam-awsmanpol-IAMAuditRootUserCredentials)
+ [IAMCreateRootUserPassword](security-iam-awsmanpol.md#security-iam-awsmanpol-IAMCreateRootUserPassword)
+ [IAMDeleteRootUserCredentials](security-iam-awsmanpol.md#security-iam-awsmanpol-IAMDeleteRootUserCredentials)
+ [S3 UnlockBucketPolicy](security-iam-awsmanpol.md#security-iam-awsmanpol-S3UnlockBucketPolicy)
+ [SQSUnlockQueuePolicy](security-iam-awsmanpol.md#security-iam-awsmanpol-SQSUnlockQueuePolicy)
[Per limitare le azioni che un account di gestione o un amministratore delegato possono eseguire durante una sessione utente root privilegiata, è possibile utilizzare la chiave di AWS STS condizione sts:. TaskPolicyArn](reference_policies_iam-condition-keys.md#ck_taskpolicyarn)
Nel seguente esempio, l'amministratore delegato presuppone root per eliminare le credenziali dell'utente root per l'ID dell'account membro. *111122223333*
```
aws sts assume-root \
--target-principal 111122223333 \
--task-policy-arn arn=arn:aws:iam::aws:policy/root-task/IAMDeleteRootUserCredentials \
--duration-seconds 900
```
1. Utilizza `SessionToken`, `AccessKeyId` e `SecretAccessKey` dalla risposta per eseguire operazioni con privilegi nell’account membro. È possibile omettere il nome utente e la password nella richiesta per impostare come impostazione predefinita l'account utente.
+ **Controlla lo stato delle credenziali dell'utente root**. Usa i seguenti comandi per controllare lo stato delle credenziali dell'utente root per un account membro.
+ [get-user](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/iam/get-user.html)
+ [get-login-profile](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/iam/get-login-profile.html)
+ [list-access-keys](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/iam/list-access-keys.html)
+ [list-signing-certificates](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/iam/list-signing-certificates.html)
+ [list-mfa-devices](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/iam/list-mfa-devices.html)
+ [get-access-key-last-usato](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/iam/get-access-key-last-used.html)
+ **Elimina le credenziali dell'utente root**. Per eliminare l'accesso root utilizza i comandi riportati di seguito. È possibile rimuovere la password dell’utente root, le chiavi di accesso, i certificati di firma e disattivare l’autenticazione a più fattori (MFA) per rimuovere l’accesso e il recupero dell’utente root.
+ [delete-login-profile](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/iam/delete-login-profile.html)
+ [delete-access-key](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/iam/delete-access-key.html)
+ [delete-signing-certificate](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/iam/delete-signing-certificate.html)
+ [deactivate-mfa-device](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/iam/deactivate-mfa-device.html)
+ **Elimina la policy del bucket Amazon S3**. Utilizza i seguenti comandi per leggere, modificare ed eliminare una policy del bucket configurata in modo errato che impedisce a tutti i principali di accedere al bucket Amazon S3.
+ [list-buckets](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/s3api/list-buckets.html)
+ [get-bucket-policy](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/s3api/get-bucket-policy.html)
+ [put-bucket-policy](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/s3api/put-bucket-policy.html)
+ [delete-bucket-policy](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/s3api/delete-bucket-policy.html)
+ **Elimina la policy di Amazon SQS**. Utilizza i seguenti comandi per visualizzare ed eliminare una policy basata sulle risorse Amazon Simple Queue Service che nega a tutti i principali l'accesso a una coda Amazon SQS.
+ [list-queues](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/sqs/list-queues.html)
+ [get-queue-url](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/sqs/get-queue-url.html)
+ [get-queue-attributes](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/sqs/get-queue-attributes.html)
+ [set-queue-attributes](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/sqs/set-queue-attributes.html)
+ **Consenti il recupero della password**. Usa i seguenti comandi per visualizzare il nome utente e recuperare le credenziali dell'utente root per un account membro.
+ [get-login-profile](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/iam/get-login-profile.html)
+ [create-login-profile](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/iam/create-login-profile.html)
## Esecuzione di un'azione privilegiata su un account membro (API)AWS
**Per avviare una sessione di azione privilegiata in un account membro dall'API AWS**
1. Usa il seguente comando per assumere una sessione utente root: [AssumeRoot](https://docs.aws.amazon.com/STS/latest/APIReference/API_AssumeRoot.html).
**Nota**
L'endpoint globale non è supportato per AssumeRoot. È necessario inviare questa richiesta a un AWS STS endpoint regionale. Per ulteriori informazioni, consulta [Gestisci AWS STS in un Regione AWS](id_credentials_temp_enable-regions.md).
Quando si avvia una sessione dell'utente root con privilegi per un account membro, è necessario definire l'`TaskPolicyArn` per limitare l'ambito della sessione all'azione con privilegi da eseguire durante la sessione. È possibile utilizzare una delle seguenti politiche AWS gestite per definire l'ambito delle azioni di sessione privilegiate.
+ [IAMAuditRootUserCredentials](security-iam-awsmanpol.md#security-iam-awsmanpol-IAMAuditRootUserCredentials)
+ [IAMCreateRootUserPassword](security-iam-awsmanpol.md#security-iam-awsmanpol-IAMCreateRootUserPassword)
+ [IAMDeleteRootUserCredentials](security-iam-awsmanpol.md#security-iam-awsmanpol-IAMDeleteRootUserCredentials)
+ [S3 UnlockBucketPolicy](security-iam-awsmanpol.md#security-iam-awsmanpol-S3UnlockBucketPolicy)
+ [SQSUnlockQueuePolicy](security-iam-awsmanpol.md#security-iam-awsmanpol-SQSUnlockQueuePolicy)
[Per limitare le azioni che un account di gestione o un amministratore delegato possono eseguire durante una sessione di utente root privilegiato, puoi utilizzare la chiave di AWS STS condizione sts:. TaskPolicyArn](reference_policies_iam-condition-keys.md#ck_taskpolicyarn)
Nell'esempio seguente, l'amministratore delegato presuppone che sia root a leggere, modificare ed eliminare una policy basata sulle risorse non configurata correttamente per un bucket Amazon S3 per l'ID dell'account membro. *111122223333*
```
https://sts.us-east-2.amazonaws.com/
?Version=2011-06-15
&Action=AssumeRoot
&TargetPrincipal=111122223333
&PolicyArns.arn=arn:aws:iam::aws:policy/root-task/S3UnlockBucketPolicy
&DurationSeconds 900
```
1. Utilizza `SessionToken`, `AccessKeyId` e `SecretAccessKey` dalla risposta per eseguire operazioni con privilegi nell’account membro. È possibile omettere il nome utente e la password nella richiesta per impostare come impostazione predefinita l'account utente.
+ **Controlla lo stato delle credenziali dell'utente root**. Usa i seguenti comandi per controllare lo stato delle credenziali dell'utente root per un account membro.
+ [GetUser](https://docs.aws.amazon.com/IAM/latest/APIReference/API_GetUser.html)
+ [GetLoginProfile](https://docs.aws.amazon.com/IAM/latest/APIReference/API_GetLoginProfile.html)
+ [ListAccessKeys](https://docs.aws.amazon.com/IAM/latest/APIReference/API_ListAccessKeys.html)
+ [ListSigningCertificates](https://docs.aws.amazon.com/IAM/latest/APIReference/API_ListSigningCertificates.html)
+ [ElencoMFADevices](https://docs.aws.amazon.com/IAM/latest/APIReference/API_ListMFADevices.html)
+ [GetAccessKeyLastUsed](https://docs.aws.amazon.com/IAM/latest/APIReference/API_GetAccessKeyLastUsed.html)
+ **Elimina le credenziali dell'utente root**. Per eliminare l'accesso root utilizza i comandi riportati di seguito. È possibile rimuovere la password dell’utente root, le chiavi di accesso, i certificati di firma e disattivare l’autenticazione a più fattori (MFA) per rimuovere l’accesso e il recupero dell’utente root.
+ [DeleteLoginProfile](https://docs.aws.amazon.com/IAM/latest/APIReference/API_DeleteLoginProfile.html)
+ [DeleteAccessKey](https://docs.aws.amazon.com/IAM/latest/APIReference/API_DeleteAccessKey.html)
+ [DeleteSigningCertificate](https://docs.aws.amazon.com/IAM/latest/APIReference/API_DeleteSigningCertificate.html)
+ [DeactivateMfaDevice](https://docs.aws.amazon.com/IAM/latest/APIReference/API_DeactivateMFADevice.html)
+ **Elimina la policy del bucket Amazon S3**. Utilizza i seguenti comandi per leggere, modificare ed eliminare una policy del bucket configurata in modo errato che impedisce a tutti i principali di accedere al bucket Amazon S3.
+ [ListBuckets](https://docs.aws.amazon.com/AmazonS3/latest/API/API_ListBuckets.html)
+ [GetBucketPolicy](https://docs.aws.amazon.com/AmazonS3/latest/API/API_GetBucketPolicy.html)
+ [PutBucketPolicy](https://docs.aws.amazon.com/AmazonS3/latest/API/API_PutBucketPolicy.html)
+ [DeleteBucketPolicy](https://docs.aws.amazon.com/AmazonS3/latest/API/API_DeleteBucketPolicy.html)
+ **Elimina la policy di Amazon SQS**. Utilizza i seguenti comandi per visualizzare ed eliminare una policy basata sulle risorse Amazon Simple Queue Service che nega a tutti i principali l'accesso a una coda Amazon SQS.
+ [ListQueues](https://docs.aws.amazon.com/AWSSimpleQueueService/latest/APIReference/API_ListQueues.html)
+ [GetQueueUrl](https://docs.aws.amazon.com/AWSSimpleQueueService/latest/APIReference/API_GetQueueUrl.html)
+ [GetQueueAttributes](https://docs.aws.amazon.com/AWSSimpleQueueService/latest/APIReference/API_GetQueueAttributes.html)
+ [SetQueueAttributes](https://docs.aws.amazon.com/AWSSimpleQueueService/latest/APIReference/API_SetQueueAttributes.html)
+ **Consenti il recupero della password**. Usa i seguenti comandi per visualizzare il nome utente e recuperare le credenziali dell'utente root per un account membro.
+ [GetLoginProfile](https://docs.aws.amazon.com/IAM/latest/APIReference/API_GetLoginProfile.html)
+ [CreateLoginProfile](https://docs.aws.amazon.com/IAM/latest/APIReference/API_CreateLoginProfile.html)
# Autenticazione a più fattori per Utente root dell'account AWS
**Importante**
AWS consiglia di utilizzare una passkey o una chiave di sicurezza per l'MFA AWS, laddove possibile, poiché sono più resistenti ad attacchi come il phishing. Per ulteriori informazioni, consulta [Passkey e chiavi di sicurezza](#passkeys-security-keys-for-root).
L'autenticazione a più fattori (MFA) è un meccanismo semplice ed efficace per migliorare la sicurezza. Il primo fattore, la password, è un segreto che viene memorizzato, noto anche come fattore di conoscenza. Altri fattori possono essere fattori di possesso (qualcosa che possiedi, come una chiave di sicurezza) o fattori intrinseci (qualcosa che sei, come una scansione biometrica). Per una maggiore sicurezza, ti consigliamo vivamente di configurare l'autenticazione a più fattori (MFA) per proteggere AWS le tue risorse.
**Nota**
Tutti i Account AWS tipi (account standalone, di gestione e account membro) richiedono la configurazione dell'MFA per l'utente root. Gli utenti devono registrare l'MFA entro 35 giorni dal primo tentativo di accesso per accedere alla MFA se la Console di gestione AWS MFA non è già abilitata.
Puoi abilitare l'MFA per gli utenti Utente root dell'account AWS e IAM. Quando abiliti MFA per l'utente root, questa impostazione influisce solo sulle credenziali dell'utente root. Per ulteriori informazioni su come abilitare l'MFA per gli utenti IAM, consulta [AWS Autenticazione a più fattori in IAM](id_credentials_mfa.md).
**Nota**
Account AWS managed using AWS Organizations può avere la possibilità di [gestire centralmente l'accesso root](id_root-user.md#id_root-user-access-management) per gli account dei membri per impedire il recupero e l'accesso alle credenziali su larga scala. Se questa opzione è abilitata, è possibile eliminare le credenziali dell’utente root dagli account membri, incluse password e MFA, impedendo efficacemente l’accesso come utente root, il recupero della password o la configurazione dell’MFA. In alternativa, se preferisci mantenere i metodi di accesso basati su password, proteggi il tuo account registrando l’MFA per una maggiore protezione.
Prima di abilitare MFA per il tuo utente root, rivedi e [aggiorna le impostazioni dell'account e le informazioni di contatto](https://docs.aws.amazon.com/accounts/latest/reference/manage-acct-update-root-user.html) per verificare di disporre dell'accesso a e-mail e numero di telefono. Se il dispositivo MFA viene smarrito, rubato o non funziona, è comunque possibile accedere come utente root verificando la propria identità utilizzando tale e-mail e il numero di telefono. Per ulteriori informazioni sull'accesso utilizzando fattori di autenticazione alternativi, consultare [Recuperare un'identità protetta da MFA in IAM](id_credentials_mfa_lost-or-broken.md). Per disabilitare questa funzionalità, contatta [Supporto AWS](https://console.aws.amazon.com/support/home#/).
AWS supporta i seguenti tipi di MFA per l'utente root:
+ [Passkey e chiavi di sicurezza](#passkeys-security-keys-for-root)
+ [Applicazioni di autenticazione virtuale](#virtual-auth-apps-for-root)
+ [Token TOTP hardware](#hardware-totp-token-for-root)
## Passkey e chiavi di sicurezza
AWS Identity and Access Management supporta passkey e chiavi di sicurezza per MFA. In base agli standard FIDO, le passkey utilizzano la crittografia a chiave pubblica per fornire un'autenticazione forte e resistente al phishing, più sicura delle password. AWS supporta due tipi di passkey: passkey legate al dispositivo (chiavi di sicurezza) e passkey sincronizzate.
+ **Chiavi di sicurezza**: si tratta di dispositivi fisici, come un YubiKey, utilizzati come secondo fattore di autenticazione. Una singola chiave di sicurezza può supportare più account utente root e utenti IAM.
+ **Passkey sincronizzate**: come secondo fattore utilizzano gestori di credenziali di provider come Google, Apple, account Microsoft e servizi di terze parti come 1Password, Dashlane e Bitwarden come secondo fattore.
Puoi utilizzare gli autenticatori biometrici integrati, come Touch ID su Apple MacBooks, per sbloccare il gestore delle credenziali e accedere a. AWS Le passkey vengono create con il provider scelto utilizzando l'impronta digitale, il viso o il PIN del dispositivo. Puoi anche utilizzare una passkey di autenticazione tra dispositivi (CDA) da un dispositivo, ad esempio un dispositivo mobile o una chiave di sicurezza hardware, per accedere su un altro dispositivo, ad esempio un laptop. Per ulteriori informazioni, consulta [Cross-device authentication (CDA)](https://passkeys.dev/docs/reference/terms/#cross-device-authentication-cda).
Puoi sincronizzare le passkey tra i tuoi dispositivi per facilitare gli accessi e migliorare l'usabilità e la recuperabilità. AWS Per ulteriori informazioni sull'abilitazione delle passkey e delle chiavi di sicurezza, consulta [Abilitare una passkey o una chiave di sicurezza per l'utente root (console)](enable-fido-mfa-for-root.md).
FIDO Alliance mantiene un elenco di tutti i [prodotti certificati FIDO](https://fidoalliance.org/certification/fido-certified-products/) compatibili con le specifiche FIDO.
## Applicazioni di autenticazione virtuale
Un'applicazione di autenticazione virtuale che viene eseguita su un telefono o altro dispositivo e simula un dispositivo fisico. Le app di autenticazione virtuale implementano l'algoritmo TOTP ([password monouso](https://datatracker.ietf.org/doc/html/rfc6238)) e supportano più token su un singolo dispositivo. L'utente deve immettere un codice valido dal dispositivo quando richiesto durante la procedura di accesso. Ogni token assegnato a un utente deve essere univoco. Per autenticarsi, un utente non può digitare un codice dal token di un altro utente.
È consigliabile utilizzare un dispositivo MFA virtuale nell'attesa dell'approvazione di un acquisto hardware o della consegna del dispositivo hardware. Per un elenco di alcune delle app supportate che puoi utilizzare come dispositivi MFA virtuali, consulta la pagina [Autenticazione a più fattori (MFA)](https://aws.amazon.com/iam/features/mfa/?audit=2019q1). Per istruzioni sulla configurazione di un dispositivo MFA virtuale con AWS, vedere. [Abilitare un dispositivo MFA virtuale per l'utente root (console)](enable-virt-mfa-for-root.md)
## Token TOTP hardware
Un dispositivo hardware che genera un codice numerico a sei cifre basato sull'algoritmo con [password monouso](https://datatracker.ietf.org/doc/html/rfc6238). L'utente deve immettere un codice valido dal dispositivo su una seconda pagina Web durante la procedura di accesso. Ogni dispositivo MFA assegnato a un utente deve essere univoco. Per essere autenticati, gli utenti non possono digitare un codice generato dal dispositivo di un altro utente. Per informazioni sui dispositivi MFA hardware supportati, consulta [Autenticazione a più fattori (MFA)](https://aws.amazon.com/iam/features/mfa/?audit=2019q1). Per le istruzioni sulla configurazione di un token TOTP hardware con AWS, consulta [Abilitazione di un token TOTP hardware per l'utente root dell' (console)](enable-hw-mfa-for-root.md).
Se desideri utilizzare un dispositivo MFA fisico, ti consigliamo di utilizzare le chiavi di sicurezza FIDO come alternativa ai dispositivi TOTP hardware. Le chiavi di sicurezza FIDO offrono i vantaggi di non richiedere alcuna batteria, resistono al phishing e supportano più utenti root e IAM su un unico dispositivo per una maggiore sicurezza.
**Topics**
+ [Passkey e chiavi di sicurezza](#passkeys-security-keys-for-root)
+ [Applicazioni di autenticazione virtuale](#virtual-auth-apps-for-root)
+ [Token TOTP hardware](#hardware-totp-token-for-root)
+ [Abilitare una passkey o una chiave di sicurezza per l'utente root (console)](enable-fido-mfa-for-root.md)
+ [Abilitare un dispositivo MFA virtuale per l'utente root (console)](enable-virt-mfa-for-root.md)
+ [Abilitazione di un token TOTP hardware per l'utente root dell' (console)](enable-hw-mfa-for-root.md)
# Abilitare una passkey o una chiave di sicurezza per l'utente root (console)
Puoi configurare e abilitare una passkey per il tuo utente root Console di gestione AWS solo dall'API, non dall' AWS API AWS CLI o.
**Per abilitare una passkey o una chiave di sicurezza per l'utente root (console)**
1. Apri la [Console di gestione AWS](https://console.aws.amazon.com/) e accedi utilizzando le credenziali dell'utente root.
Per istruzioni, consulta [Accedere Console di gestione AWS come utente root nella Guida per](https://docs.aws.amazon.com/signin/latest/userguide/introduction-to-root-user-sign-in-tutorial.html) *l'Accedi ad AWS utente*.
1. Scegli il nome dell'account sul lato destro della barra di navigazione, quindi seleziona **Credenziali di sicurezza**.
![\[Security Credentials (Credenziali di sicurezza) nel menu di navigazione\]](http://docs.aws.amazon.com/it_it/IAM/latest/UserGuide/images/security-credentials-root.shared.console.png)
1. Nella pagina **Le mie credenziali di sicurezza** dell'utente root, in **Autenticazione a più fattori (MFA)**, scegli **Assegna dispositivo MFA**.
1. Nella pagina **Nome del dispositivo MFA**, inserisci un **nome per il dispositivo**, scegli **Passkey o chiave di sicurezza**, quindi scegli **Avanti**.
1. In **Configura dispositivo**, configura la tua passkey. Crea una passkey con dati biometrici come il viso o l'impronta digitale, con un pin del dispositivo oppure inserendo la chiave di sicurezza FIDO nella porta USB del computer e toccandola.
1. Segui le istruzioni del tuo browser per scegliere un provider di passkey o selezionare dove vuoi archiviare la passkey da utilizzare su tutti i tuoi dispositivi.
1. Scegli **Continua**.
Ora hai registrato la tua passkey per utilizzarla con AWS. La prossima volta che utilizzi le credenziali dell'utente root per effettuare l'accesso, dovrai autenticarti con la passkey per completare la procedura di accesso.
Per assistenza con la risoluzione dei problemi della chiave di sicurezza FIDO in , consulta [Risoluzione dei problemi relativi alle passkey e alle chiavi di sicurezza FIDO](troubleshoot_mfa-fido.md).
# Abilitare un dispositivo MFA virtuale per l'utente root (console)
È possibile utilizzare il Console di gestione AWS per configurare e abilitare un dispositivo MFA virtuale per l'utente root. Per abilitare i dispositivi MFA per Account AWS, è necessario accedere AWS utilizzando le credenziali dell'utente root.
**Come configurare e abilitare un dispositivo MFA virtuale da utilizzare con l'utente root (console)**
1. Apri la [console di gestione AWS](https://console.aws.amazon.com/) e accedi utilizzando le credenziali dell'utente root.
Per istruzioni, consulta [Accedere Console di gestione AWS come utente root nella Guida per](https://docs.aws.amazon.com/signin/latest/userguide/introduction-to-root-user-sign-in-tutorial.html) l'*Accedi ad AWS utente*.
1. Selezionare il nome dell'account sul lato destro della barra di navigazione e scegliere **Security Credentials (Credenziali di sicurezza)**.
![\[Security Credentials (Credenziali di sicurezza) nel menu di navigazione\]](http://docs.aws.amazon.com/it_it/IAM/latest/UserGuide/images/security-credentials-root.shared.console.png)
1. Nella sezione **Multi-Factor Authentication (MFA) (Autenticazione a più fattori)**, scegliere **Assign MFA device (Assegna dispositivo MFA)**.
1. Nella procedura guidata, digita un **nome per il dispositivo**, scegli l'**app Authenticator** e quindi scegli **Next** (Avanti).
IAM genera e visualizza le informazioni di configurazione per il dispositivo MFA virtuale, tra cui il codice grafico QR. Il grafico è una rappresentazione della chiave di configurazione segreta che è disponibile per l'inserimento manuale su dispositivi che non supportano i codici QR.
1. Aprire l'app MFA virtuale sul dispositivo.
Se l'app MFA virtuale supporta più account o dispositivi MFA virtuali, selezionare l'opzione che consente di creare un nuovo account o dispositivo MFA virtuale.
1. Il modo più semplice per configurare l'app è di utilizzare l'app per scannerizzare il codice QR. Se non è possibile scansionare il codice, è possibile digitare le informazioni di configurazione manualmente. Il codice QR e la chiave di configurazione segreta generati da IAM sono collegati al tuo Account AWS e non possono essere utilizzati con un altro account. Possono tuttavia essere riutilizzati per configurare un nuovo dispositivo MFA per l'account nel caso in cui si perda l'accesso al dispositivo MFA originale.
+ Per utilizzare il codice QR per la configurazione del dispositivo MFA virtuale, scegliere **Show QR code (Mostra codice QR)** nella procedura guidata. Quindi, seguire le istruzioni nell'app relative alla scansione del codice. Ad esempio, potrebbe essere necessario scegliere l'icona della fotocamera o un comando come **Scan account barcode (Scannerizza codice a barre account)** e utilizzare la fotocamera del dispositivo per eseguire la scansione del codice QR.
+ Nella procedura guidata **Set up device** (Configura dispositivo), scegli **Show secret key** (Mostra chiave segreta) e digita la chiave segreta nell'app MFA.
**Importante**
Effettuare un backup sicuro del codice QR o della chiave segreta di configurazione o assicurarsi che più dispositivi MFA virtuali siano abilitati per il proprio account. Puoi registrare fino a **otto** dispositivi MFA di qualsiasi combinazione dei [tipi di MFA attualmente supportati](https://aws.amazon.com/iam/features/mfa/) con i tuoi Utente root dell'account AWS utenti e IAM. Un dispositivo MFA virtuale potrebbe non essere più disponibili, ad esempio, se si perde lo smartphone, in cui il dispositivo MFA virtuale è ospitato. In tal caso e se non riesci ad accedere al tuo account senza dispositivi MFA aggiuntivi collegati all'utente né tramite [Ripristino di un dispositivo MFA per l'utente root](id_credentials_mfa_lost-or-broken.md#root-mfa-lost-or-broken), non potrai accedere al tuo account e dovrai [contattare l'assistenza clienti](https://support.aws.amazon.com/#/contacts/aws-mfa-support) per rimuovere la protezione MFA per l'account.
Il dispositivo avvia la generazione di numeri a sei cifre.
1. Nella procedura guidata, nella casella **MFA Code 1** (Codice MFA 1), digita la password monouso visualizzata nel dispositivo MFA virtuale. Attendere fino a un massimo di 30 secondi prima che il dispositivo generi una nuova password una tantum. Quindi, digitare la seconda password monouso nella casella **Codice MFA 2**. Scegli **Aggiungi MFA**.
**Importante**
Inviare la richiesta immediatamente dopo la generazione dei codici. Se si generano i codici e si attende troppo a lungo per inviare la richiesta, il dispositivo MFA si associa correttamente con l'utente ma il dispositivo MFA non viene sincronizzato. Ciò accade perché le password monouso temporanee (TOTP) scadono dopo un breve periodo di tempo. Se ciò accade, è possibile [sincronizzare nuovamente il dispositivo](id_credentials_mfa_sync.md).
Il dispositivo è pronto per l'uso con. AWS Per ulteriori informazioni sull'utilizzo di MFA con la Console di gestione AWS, consulta [Accesso abilitato con MFA](console_sign-in-mfa.md).
# Abilitazione di un token TOTP hardware per l'utente root dell' (console)
Puoi configurare e abilitare un dispositivo MFA fisico per il tuo utente root Console di gestione AWS solo dall'API, non dall'API AWS CLI o AWS .
**Nota**
È possibile che il testo visualizzato sia differente, ad esempio **Sign in using MFA (Accesso con un dispositivo MFA)** e **Troubleshoot your authentication device (Risoluzione dei problemi del dispositivo di autenticazione)**. Tuttavia, le funzionalità sono identiche. In entrambi i casi, se non fosse possibile verificare l'indirizzo e-mail e il numero di telefono dell'account utilizzando fattori alternativi dell'autenticazione, contatta [Supporto AWS](https://aws.amazon.com/forms/aws-mfa-support) per eliminare l'impostazione MFA.
**Per abilitare un token TOTP hardware per l'utente root (console)**
1. Apri la [console di gestione AWS](https://console.aws.amazon.com/) e accedi utilizzando le credenziali dell'utente root.
Per istruzioni, consulta [Accedere Console di gestione AWS come utente root nella Guida per](https://docs.aws.amazon.com/signin/latest/userguide/introduction-to-root-user-sign-in-tutorial.html) *l'Accedi ad AWS utente*.
1. Scegli il nome dell'account sul lato destro della barra di navigazione, quindi seleziona **Credenziali di sicurezza**.
![\[Security Credentials (Credenziali di sicurezza) nel menu di navigazione\]](http://docs.aws.amazon.com/it_it/IAM/latest/UserGuide/images/security-credentials-root.shared.console.png)
1. Espandere la sezione **Multi-Factor Authentication (MFA) (Autenticazione a più fattori (MFA))**.
1. Scegli **Assegna dispositivo MFA**.
1. Nella procedura guidata, digitate il **nome del dispositivo**, scegliete il **token Hardware TOTP** e quindi scegliete **Avanti**.
1. Nella casella **Serial number (Numero di serie)** digitare il numero di serie riportato sulla parte posteriore del dispositivo MFA.
1. Nella casella **MFA code 1 (Codice MFA 1)** digitare il numero di sei cifre visualizzato nel dispositivo MFA. Per visualizzare il numero, potrebbe essere necessario premere il pulsante sul lato anteriore del dispositivo.
![\[Pannello di controllo IAM - Dispositivo MFA\]](http://docs.aws.amazon.com/it_it/IAM/latest/UserGuide/images/MFADevice.png)
1. Attendere 30 secondi per consentire al dispositivo di aggiornare il codice, quindi digitare il nuovo numero a sei cifre nella casella **MFA code 2 (Codice MFA 2)**. Per visualizzare il secondo numero, potrebbe essere necessario premere nuovamente il pulsante sul lato anteriore del dispositivo.
1. Scegli **Aggiungi MFA**. Il dispositivo MFA è ora associato all'account Account AWS.
**Importante**
La richiesta deve essere inviata immediatamente dopo la generazione dei codici di autenticazione. Se dopo avere generato i codici attendi troppo a lungo prima di inviare la richiesta, il dispositivo MFA si associerà correttamente con l'utente, ma perderà la sincronizzazione. Ciò accade perché le password monouso temporanee (TOTP) scadono dopo un breve periodo di tempo. Se ciò accade, è possibile [sincronizzare nuovamente il dispositivo](id_credentials_mfa_sync.md).
Al successivo utilizzo delle credenziali dell'utente root per effettuare l'accesso, dovrai immettere un codice dal dispositivo MFA.
# Cambiare la password per Utente root dell'account AWS
Puoi modificare l'indirizzo e-mail e la password in [Credenziali di sicurezza](https://console.aws.amazon.com/iam/home?#security_credential) o nella pagina **Account**. Puoi anche scegliere **Password dimenticata?** nella pagina di AWS accesso per reimpostare la password.
Per modificare la password dell'utente root, devi accedere come utente IAM Utente root dell'account AWS e non come utente. Per ulteriori informazioni su come reimpostare una password dell'utente root *dimenticata*, consulta [Reimpostare una password dell'utente root persa o dimenticata](reset-root-password.md).
Per proteggere la password, consigliamo di seguire queste best practice:
+ Cambia periodicamente la password.
+ Mantieni la password privata, perché chiunque la conosca può accedere al tuo account.
+ Usa una password diversa da AWS quella che usi su altri siti.
+ Evitare password che sono facili da indovinare. Queste includono password, come `secret`, `password`, `amazon` o `123456`. Sono inclusi anche i dati come una parole comuni, il tuo nome, l'indirizzo e-mail o altre informazioni personali che possono essere ottenute facilmente.
**Importante**
Account AWS managed using AWS Organizations può avere l'[accesso root centralizzato](id_root-user.md#id_root-user-access-management) abilitato per gli account dei membri. Questi account membri non dispongono di credenziali dell'utente root, non possono accedere come utente root e non possono recuperare la password dell'utente root. Contatta l'amministratore se devi eseguire un'operazione che richiede le credenziali dell'utente root.
------
#### [ Console di gestione AWS ]
**Come modificare la password per l'utente root**
**Autorizzazioni minime**
Per eseguire le seguenti operazioni, devi disporre come minimo delle seguenti autorizzazioni IAM:
È necessario accedere come utente Account AWS root, il che non richiede autorizzazioni aggiuntive AWS Identity and Access Management (IAM). Non è possibile eseguire questi passaggi come utente o ruolo IAM.
1. Apri la [Console di gestione AWS](https://console.aws.amazon.com/) e accedi utilizzando le credenziali dell'utente root.
Per istruzioni, consulta [Accedere Console di gestione AWS come utente root nella Guida per](https://docs.aws.amazon.com/signin/latest/userguide/introduction-to-root-user-sign-in-tutorial.html) *l'Accedi ad AWS utente*.
1. Nell’angolo in alto a destra della console, scegli il nome o il numero dell’account, quindi seleziona **Credenziali di sicurezza**.
1. Nella pagina **Account**, accanto a **AImpostazioni account**, scegli **Modifica**. Ti viene richiesto di effettuare nuovamente l'autenticazione per motivi di sicurezza.
**Nota**
Se non vedi l'opzione **Modifica**, è probabile che tu non abbia effettuato l'accesso come utente root dell'account. Non è possibile modificare le impostazioni dell'account dopo aver effettuato l'accesso come utente o ruolo IAM.
1. Nella pagina **Aggiorna le impostazioni dell'account**, in **Password**, scegli **Modifica**.
1. Nella pagina **Aggiorna la password**, compila i campi **Password corrente**, **Nuova password** e **Conferma nuova password**.
**Importante**
Scegli una password sicura. Anche se è possibile impostare una policy per le password dell'account per gli utenti IAM, tale policy non si applica all'utente root.
AWS richiede che la password soddisfi le seguenti condizioni:
+ Deve avere un minimo di 8 caratteri e un massimo di 128 caratteri.
+ Deve includere almeno tre dei seguenti tipi di caratteri: maiuscole, minuscole, numeri e i simboli \$1 @ \$1 \$1 % ^ & \$1 () <> [] \$1\$1 \$1 \$1\$1-=.
+ Non deve essere identica al tuo Account AWS nome o indirizzo email.
1. Scegli **Save changes** (Salva modifiche).
------
#### [ AWS CLI or AWS SDK ]
Questa attività non è supportata in AWS CLI o da un'operazione API di uno dei AWS SDKs. È possibile eseguire questa operazione solo utilizzando Console di gestione AWS.
------
# Reimpostare una password dell'utente root persa o dimenticata
Quando hai creato il tuo Account AWS, hai fornito un indirizzo email e una password. Queste sono le tue Utente root dell'account AWS credenziali. Se dimentichi la password dell'utente root, puoi reimpostarla dalla Console di gestione AWS.
Account AWS managed using AWS Organizations può avere l'[accesso root centralizzato](id_root-user.md#id_root-user-access-management) abilitato per gli account dei membri. Questi account membri non dispongono di credenziali dell'utente root, non possono accedere come utente root e non possono recuperare la password dell'utente root. Contatta l'amministratore se devi eseguire un'operazione che richiede le credenziali dell'utente root.
**Importante**
**Hai problemi ad accedere a AWS?** Assicurati di essere nella [pagina di accesso AWS](https://docs.aws.amazon.com/signin/latest/userguide/console-sign-in-tutorials.html) corretta per il tuo tipo di utente. Se sei il Utente root dell'account AWS (proprietario dell'account), puoi accedere AWS utilizzando le credenziali che hai configurato quando hai creato il Account AWS. Se sei un utente IAM, l'amministratore dell'account può fornirti le credenziali che puoi utilizzare per accedere ad AWS. Se hai bisogno di richiedere assistenza, non utilizzare il link di feedback in questa pagina, poiché il modulo non Supporto viene ricevuto dal team addetto alla AWS documentazione. Invece, nella pagina [Contattaci](https://aws.amazon.com/contact-us/) scegli **Ancora impossibile accedere al tuo AWS account**, quindi scegli una delle opzioni di supporto disponibili.
**Per reimpostare la password dell'utente root**
1. Apri la [console di gestione AWS](https://console.aws.amazon.com/) e accedi utilizzando le credenziali dell'utente root.
Per istruzioni, consulta [Accedere Console di gestione AWS come utente root nella](https://docs.aws.amazon.com/signin/latest/userguide/introduction-to-root-user-sign-in-tutorial.html) *Guida per l'Accedi ad AWS utente*.
**Nota**
Se è stato effettuato l'accesso alla [Console di gestione AWS](https://console.aws.amazon.com/) con le credenziali dell'*utente IAM*, per reimpostare la password dell'utente root è necessario prima disconnettersi. Se viene visualizzata la pagina di accesso dell'utente IAM specifica dell'account, seleziona **Accedi con le credenziali dell'account root** nella parte inferiore della pagina. Se necessario, fornisci l'indirizzo e-mail dell'account e scegli **Next (Avanti)** per accedere alla pagina **Root user sign in (Accesso utente root)**.
1. Selezionare **Forgot your password? (Password dimenticata?)**.
**Nota**
Se sei un utente IAM, questa opzione non è disponibile. L'opzione **Password dimenticata?** è disponibile solo per l'account utente root. Gli utenti IAM devono chiedere al proprio amministratore di reimpostare una password dimenticata. Per ulteriori informazioni, consulta [Ho dimenticato la password utente IAM per il mio AWS account](https://docs.aws.amazon.com/signin/latest/userguide/troubleshooting-sign-in-issues.html#troubleshoot-forgot-iam-password). Se accedi tramite il portale di AWS accesso, consulta [Reimpostazione della password utente di IAM Identity Center](https://docs.aws.amazon.com/singlesignon/latest/userguide/resetpassword-accessportal.html).
1. Fornire l'indirizzo e-mail associato all'account. Fornire quindi il testo CAPTCHA e selezionare **Continue (Continua)**.
1. Verifica la presenza di un messaggio proveniente da Amazon Web Services nell'indirizzo e-mail associato al tuo Account AWS . L'e-mail proviene da un indirizzo che termina con `@verify.signin.aws`. Seguire le istruzioni nel messaggio. Se il messaggio e-mail non viene visualizzato nel proprio account, controllare la cartella spam. Se non hai più accesso all'e-mail, consulta [Non ho accesso all'e-mail del mio AWS account nella Guida per](https://docs.aws.amazon.com/signin/latest/userguide/console-sign-in-troubleshooting.html#credentials-not-working-console) *l'Accedi ad AWS utente*.
# Creare chiavi di accesso per l'utente root
**avvertimento**
Consigliamo fortemente di **non** creare coppie di chiavi di accesso per l'utente root. Poiché [solo alcune attività richiedono l'utente root](id_root-user.md#root-user-tasks) e in genere tali attività vengono eseguite raramente, si consiglia di accedere a per eseguire le Console di gestione AWS attività dell'utente root. Prima di creare le chiavi di accesso, esamina le [alternative alle chiavi di accesso a lungo termine](security-creds-programmatic-access.md#security-creds-alternatives-to-long-term-access-keys).
Sebbene non sia consigliabile, è possibile creare chiavi di accesso per l'utente root in modo da poter eseguire comandi in AWS Command Line Interface (AWS CLI) o utilizzare le operazioni API da una delle credenziali dell'utente root che AWS SDKs utilizzano. Quando crei una chiave di accesso, crei l'ID chiave di accesso e la chiave di accesso segreta come set. Durante la creazione della chiave di accesso, ti AWS offre l'opportunità di visualizzare e scaricare la parte della chiave di accesso segreta della chiave di accesso. Se non la scarichi o la perdi, puoi eliminare la chiave di accesso e quindi crearne una nuova. È possibile creare chiavi di accesso per utenti root con la AWS CLI console o AWS l'API.
Lo stato di una nuova chiave di accesso è *attiva*, il che significa che puoi usarla per le chiamate API e CLI. Inoltre, è possibile assegnare fino a due chiavi di accesso all'utente root.
Le chiavi di accesso non utilizzate dovrebbero essere disattivate. Una volta che una chiave di accesso è inattiva, non è possibile utilizzarla per le chiamate API. Le chiavi inattive contano comunque per il limite. Puoi creare o eliminare una chiave di accesso in qualsiasi momento. Tuttavia, una volta eliminata, viene persa per sempre e non può essere recuperata.
------
#### [ Console di gestione AWS ]
**Per creare una chiave di accesso per Utente root dell'account AWS**
**Autorizzazioni minime**
Per eseguire le seguenti operazioni, devi disporre come minimo delle seguenti autorizzazioni IAM:
È necessario accedere come utente Account AWS root, che non richiede autorizzazioni aggiuntive AWS Identity and Access Management (IAM). Non è possibile eseguire questi passaggi come utente o ruolo IAM.
1. Apri la [Console di gestione AWS](https://console.aws.amazon.com/) e accedi utilizzando le credenziali dell'utente root.
Per istruzioni, consulta [Accedere Console di gestione AWS come utente root nella Guida per](https://docs.aws.amazon.com/signin/latest/userguide/introduction-to-root-user-sign-in-tutorial.html) *l'Accedi ad AWS utente*.
1. Nell'angolo in alto a destra della console, seleziona il nome o il numero dell'account, quindi scegli **Credenziali di sicurezza**.
1. Nella sezione **Chiavi di accesso**, scegliere **Crea chiave di accesso**. Se questa opzione non è disponibile, è già stato raggiunto il numero massimo di chiavi di accesso. È necessario eliminare una delle chiavi di accesso esistenti prima di poter creare una nuova chiave. Per ulteriori informazioni, consulta la pagina [Quote degli oggetti IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_iam-quotas.html#reference_iam-quotas-entities).
1. Nella pagina **Alternative alle chiavi di accesso dell'utente root**, consulta le raccomandazioni di sicurezza. Per continuare, seleziona la casella di controllo, quindi scegli **Crea chiave di accesso**.
1. Nella pagina **Recupera la chiave d'accesso**, viene visualizzato l'ID della **Chiave di accesso**.
1. In **Chiave di accesso segreta**, seleziona **Mostra**, quindi copia l'ID della chiave di accesso e della chiave segreta dalla finestra del browser e incollale in un luogo sicuro. In alternativa, puoi selezionare **Scarica file .csv**: eseguirai il download di un file denominato `rootkey.csv` che contiene l'ID chiave di accesso e la chiave segreta. Salvare il file da qualche parte al sicuro.
1. Seleziona **Fatto**. Quando non hai più bisogno della chiave di accesso, [ti consigliamo di eliminarla](id_root-user_manage_delete-key.md) o almeno di valutare se disattivarla, in modo che nessuno possa usarla in modo improprio.
------
#### [ AWS CLI & SDKs ]
**Per creare una chiave di accesso per l'utente root**
**Nota**
Per eseguire il seguente comando od operazione API come utente root, è necessario disporre già di una coppia di chiavi di accesso attive. Se non disponi delle chiavi di accesso, crea la prima chiave di accesso utilizzando la Console di gestione AWS. Quindi, puoi utilizzare le credenziali della prima chiave di accesso con la AWS CLI per creare la seconda chiave di accesso o per eliminare una chiave di accesso.
+ AWS CLI: [era io create-access-key](https://docs.aws.amazon.com/cli/latest/reference/iam/create-access-key.html)
**Example**
```
$ aws iam create-access-key
{
"AccessKey": {
"UserName": "MyUserName",
"AccessKeyId": "AKIAIOSFODNN7EXAMPLE",
"Status": "Active",
"SecretAccessKey": "wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY",
"CreateDate": "2021-04-08T19:30:16+00:00"
}
}
```
+ AWS API: [CreateAccessKey](https://docs.aws.amazon.com/IAM/latest/APIReference/API_CreateAccessKey.html)nel *riferimento all'API IAM*.
------
# Eliminare le chiavi di accesso per l'utente root
È possibile utilizzare l' Console di gestione AWS, the AWS CLI o l' AWS API per eliminare le chiavi di accesso dell'utente root.
------
#### [ Console di gestione AWS ]
**Per eliminare una chiave di accesso per l'utente root**
**Autorizzazioni minime**
Per eseguire le seguenti operazioni, devi disporre come minimo delle seguenti autorizzazioni IAM:
È necessario accedere come utente Account AWS root, il che non richiede autorizzazioni aggiuntive AWS Identity and Access Management (IAM). Non è possibile eseguire questi passaggi come utente o ruolo IAM.
1. Apri la [Console di gestione AWS](https://console.aws.amazon.com/) e accedi utilizzando le credenziali dell'utente root.
Per istruzioni, consulta [Accedere Console di gestione AWS come utente root nella Guida per](https://docs.aws.amazon.com/signin/latest/userguide/introduction-to-root-user-sign-in-tutorial.html) *l'Accedi ad AWS utente*.
1. Nell'angolo in alto a destra della console, seleziona il nome o il numero dell'account, quindi scegli **Credenziali di sicurezza**.
1. Nella sezione **Chiavi di accesso**, individua la chiave di accesso che desideri eliminare, quindi scegli **Operazioni** e poi **Elimina**.
**Nota**
In alternativa, puoi **disattivare** una chiave di accesso anziché eliminarla definitivamente. In questo modo potrai riutilizzarla in futuro senza dover modificare l'ID chiave o la chiave segreta. Sebbene la chiave sia inattiva, qualsiasi tentativo di utilizzarla nelle richieste all' AWS API fallisce e viene negato l'errore di accesso.
1. Nella finestra di dialogo **Elimina **, scegli **Disattiva**, inserisci l'ID della chiave di accesso per confermare che desideri eliminarla, quindi scegli **Elimina**.
------
#### [ AWS CLI & SDKs ]
**Per eliminare una chiave di accesso per l'utente root**
**Autorizzazioni minime**
Per eseguire le seguenti operazioni, devi disporre come minimo delle seguenti autorizzazioni IAM:
È necessario accedere come utente Account AWS root, operazione che non richiede autorizzazioni aggiuntive AWS Identity and Access Management (IAM). Non è possibile eseguire questi passaggi come utente o ruolo IAM.
+ AWS CLI: [era iam delete-access-key](https://docs.aws.amazon.com/cli/latest/reference/iam/delete-access-key.html)
**Example**
```
$ aws iam delete-access-key \
--access-key-id AKIAIOSFODNN7EXAMPLE
```
Questo comando non produce alcun output se ha esito positivo.
+ AWS API: [DeleteAccessKey](https://docs.aws.amazon.com/IAM/latest/APIReference/API_DeleteAccessKey.html)
------
## Attività che richiedono credenziali dell'utente root
Ti consigliamo di [configurare un utente amministrativo AWS IAM Identity Center](https://docs.aws.amazon.com/singlesignon/latest/userguide/getting-started.html) per eseguire le attività quotidiane e accedere alle AWS risorse. Tuttavia, è possibile eseguire le attività elencate di seguito solo se si effettua l'accesso come utente root di un account.
Per semplificare la gestione delle credenziali degli utenti root privilegiati tra gli account dei membri in AWS Organizations, puoi abilitare l'accesso root centralizzato per aiutarti a proteggere centralmente l'accesso altamente privilegiato al tuo. Account AWS[Gestire centralmente l'accesso root per gli account membri](#id_root-user-access-management)consente di rimuovere e impedire centralmente il ripristino a lungo termine delle credenziali degli utenti root, migliorando la sicurezza dell'account nell'organizzazione. Dopo aver abilitato questa funzionalità, è possibile completare le seguenti attività con privilegi sugli account membri.
+ Rimuovi le credenziali dell'utente root dell'account membro per impedire il recupero dell'account dell'utente root. Puoi anche consentire il recupero della password per recuperare le credenziali dell'utente root per un account membro.
+ Rimuovi una policy del bucket configurata non correttamente che impedisce a tutti i principali di accedere al bucket Amazon S3.
+ Elimina una policy basata sulle risorse Amazon Simple Queue Service che nega a tutti i principali l'accesso a una coda Amazon SQS.
**Attività di gestione degli account**
+ [Modifica le impostazioni del tuo Account AWS .](https://docs.aws.amazon.com/accounts/latest/reference/manage-acct-update-root-user.html) Le versioni autonome Account AWS che non fanno parte di AWS Organizations richiedono le credenziali root per aggiornare l'indirizzo e-mail, la password dell'utente root e le chiavi di accesso dell'utente root. Altre impostazioni dell'account, come il nome dell'account, le informazioni di contatto, i contatti alternativi, la preferenza della valuta di pagamento e Regioni AWS, non richiedono credenziali dell'utente root.
**Nota**
AWS Organizations, con tutte le funzionalità abilitate, può essere utilizzato per gestire centralmente le impostazioni degli account membro dall’account di gestione e dagli account amministratore delegato. Gli utenti IAM autorizzati o i ruoli IAM sia nell'account di gestione che negli account di amministrazione delegati possono chiudere gli account dei membri e aggiornare gli indirizzi e-mail principali, i nomi degli account, le informazioni di contatto, i contatti alternativi e Regioni AWS gli account dei membri.
+ [Chiudi il tuo. Account AWS](https://docs.aws.amazon.com/awsaccountbilling/latest/aboutv2/close-account.html) Le versioni autonome Account AWS che non fanno parte di AWS Organizations richiedono le credenziali di root per chiudere l'account. Con AWS Organizations, puoi chiudere gli account dei membri centralmente dall'account di gestione e dagli account di amministratore delegato.
+ [Ripristina le autorizzazioni dell'utente IAM.](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_manage-edit.html) Se l'unico amministratore IAM revoca accidentalmente le autorizzazioni, sarà possibile effettuare l'accesso come utente root per modificare le policy e ripristinare le autorizzazioni.
**Attività di fatturazione**
+ [Attivare l'accesso IAM alla console di gestione fatturazione e costi](https://docs.aws.amazon.com/awsaccountbilling/latest/aboutv2/control-access-billing.html#ControllingAccessWebsite-Activate).
+ Alcune attività di fatturazione sono limitate all'utente root. Per ulteriori informazioni, consulta [Managing an Account AWS](https://docs.aws.amazon.com/awsaccountbilling/latest/aboutv2/manage-account-payment.html) in AWS Billing User Guide.
+ Visualizzare alcune fatture fiscali. Un utente IAM con il [portale aws:](https://docs.aws.amazon.com/awsaccountbilling/latest/aboutv2/billing-permissions-ref.html#user-permissions) l'ViewBillingautorizzazione può visualizzare e scaricare le fatture IVA dall' AWS Europa, ma non da AWS Inc. o Amazon Internet Services Private Limited (AISPL).
**AWS GovCloud (US) Attività**
+ [Registrazione per AWS GovCloud (US)](https://docs.aws.amazon.com/govcloud-us/latest/UserGuide/getting-started-sign-up.html).
+ Richiedi le chiavi di accesso per l'utente root dell' AWS GovCloud (US) account da Supporto AWS.
**Attività di Amazon EC2**
+ [Registrati come venditore](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/ri-market-general.html) nel marketplace di istanze riservate.
**AWS KMS Attività**
+ Nel caso in cui una AWS Key Management Service chiave diventi ingestibile, un amministratore può recuperarla contattandola Supporto; tuttavia, Supporto risponde al numero di telefono principale dell'utente root per l'autorizzazione confermando l'OTP del ticket.
**Attività di Amazon Mechanical Turk**
+ [Collega Your al tuo account Requester. Account AWS MTurk ](https://docs.aws.amazon.com/AWSMechTurk/latest/AWSMechanicalTurkGettingStartedGuide/SetUp.html#accountlinking)
**Attività di Amazon Simple Storage Service**
+ [Configura un bucket Amazon S3 per abilitare l'autenticazione a più fattori (MFA)](https://docs.aws.amazon.com/AmazonS3/latest/userguide/MultiFactorAuthenticationDelete.html).
+ [Modifica o elimina una policy del bucket Amazon S3 che rifiuta tutti i principali](https://aws.amazon.com/premiumsupport/knowledge-center/change-vpc-endpoint-s3-bucket-policy/).
Puoi utilizzare azioni con privilegi per sbloccare un bucket Amazon S3 con una policy di bucket configurata non correttamente. Per informazioni dettagliate, vedi [Esegui un'attività privilegiata su un account AWS Organizations membro](id_root-user-privileged-task.md).
**Attività di Amazon Simple Queue Service**
+ [Modifica o elimina una policy basata sulle risorse Amazon SQS che rifiuta tutti i principali](https://aws.amazon.com/premiumsupport/knowledge-center/sqs-queue-access-issues-deny-policy).
Puoi utilizzare azioni con privilegi per sbloccare una coda Amazon SQS con una policy basata sulle risorse configurata non correttamente. Per informazioni dettagliate, vedi [Esegui un'attività privilegiata su un account AWS Organizations membro](id_root-user-privileged-task.md).
## Risorse aggiuntive
Per ulteriori informazioni sull'utente AWS root, consulta le seguenti risorse:
+ Per assistenza con i problemi relativi agli utenti root, consulta [Risoluzione dei problemi con l'utente root](troubleshooting_root-user.md).
+ Per gestire centralmente gli indirizzi e-mail degli utenti root in AWS Organizations, vedere [Aggiornamento dell'indirizzo e-mail dell'utente root per un account membro](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_accounts_update_primary_email.html) nella *Guida per l'AWS Organizations utente*.
I seguenti articoli forniscono ulteriori informazioni sull'utilizzo dell'utente root.
+ [Quali sono le migliori pratiche per proteggere le mie Account AWS e le relative risorse?](https://repost.aws/knowledge-center/security-best-practices)
+ [Come posso creare una regola di EventBridge evento per informarmi che è stato utilizzato il mio utente root?](https://repost.aws/knowledge-center/root-user-account-eventbridge-rule)
+ [Monitora e invia notifiche sulle Utente root dell'account AWS attività](https://aws.amazon.com/blogs/mt/monitor-and-notify-on-aws-account-root-user-activity/)
+ [Monitoraggio dell'attività dell'utente root IAM](https://docs.aws.amazon.com/prescriptive-guidance/latest/patterns/monitor-iam-root-user-activity.html)
# Utenti IAM
**Importante**
[Le best practice](best-practices.md) di IAM consigliano di richiedere agli utenti umani di utilizzare la federazione con un provider di identità per accedere AWS utilizzando credenziali temporanee anziché utilizzare utenti IAM con credenziali a lungo termine. Ti consigliamo di utilizzare gli utenti IAM solo per [casi d'uso specifici](gs-identities-iam-users.md) non supportati dagli utenti federati.
Un *utente IAM* è un'entità che viene creata nell' Account AWS. L'utente IAM rappresenta la persona o il carico di lavoro utilizzato dall'utente IAM per interagire con le risorse AWS . Un utente IAM dispone di un nome e di credenziali.
Un utente IAM con le autorizzazioni di amministratore non è la stessa cosa dell' Utente root dell'account AWS. Per ulteriori informazioni sull'utilizzo dell'utente root, consulta [Utente root dell'account AWS](id_root-user.md).
## Come AWS identifica un utente IAM
Quando crei un utente IAM, IAM crea questi metodi per identificare quell'utente:
+ Un "nome semplice" per l'utente IAM, che è il nome specificato quando hai creato l'utente IAM, ad esempio `Richard` o `Anaya`. Questi sono i nomi che vedi nella Console di gestione AWS. Poiché i nomi utente IAM compaiono in Amazon Resource Names (ARNs), non è consigliabile includere informazioni di identificazione personale nel nome IAM. Fai riferimento a [Requisiti del nome IAM](reference_iam-quotas.md#reference_iam-quotas-names) per i requisiti e le restrizioni per i nomi IAM.
+ Un nome della risorsa Amazon (ARN) per l'utente IAM. L'ARN viene utilizzato quando è necessario identificare in modo univoco l'utente IAM in tutto il mondo. AWS Ad esempio, puoi usare un ARN per specificare l'utente IAM come `Principal` in una policy IAM per un bucket Amazon S3. Un ARN per un utente IAM potrebbe essere simile al seguente:
`arn:aws:iam::account-ID-without-hyphens:user/Richard`
+ Un identificatore univoco per l'utente IAM. Questo ID viene restituito solo quando utilizzi l'API, Tools for Windows PowerShell o AWS CLI per creare l'utente IAM; non lo vedi nella console.
Per ulteriori informazioni su questi identificatori, consulta [Identificatori IAM](reference_identifiers.md).
## Utenti IAM e credenziali
Puoi accedere AWS in diversi modi a seconda delle credenziali utente IAM:
+ [**Password console**](id_credentials_passwords.md): una password che l'utente IAM può inserire per accedere a sessioni interattive come la Console di gestione AWS. La disabilitazione della password (accesso alla console) per un utente IAM impedisce loro di accedere Console di gestione AWS utilizzando le proprie credenziali di accesso. Non modifica le autorizzazioni né impedisce l'accesso alla console utilizzando un ruolo assunto. Gli utenti IAM con accesso alla console abilitato possono anche utilizzare le stesse credenziali per autenticarsi AWS CLI e accedere all'SDK utilizzando il comando. `aws login` AWS CLI Questi utenti dovranno disporre delle autorizzazioni. [SignInLocalDevelopmentAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/SignInLocalDevelopmentAccess.html) Per maggiori dettagli, consulta [la sezione Autenticazione e credenziali di accesso AWS CLI](https://docs.aws.amazon.com/cli/latest/userguide/cli-chap-authentication.html) nella *Guida per AWS Command Line Interface l'utente*.
+ [**Tasti di accesso**](id_credentials_access-keys.md): utilizzati per effettuare chiamate programmatiche a AWS. Tuttavia, ci sono alternative più sicure da considerare prima di creare le chiavi di accesso per gli utenti IAM. Per ulteriori informazioni, consulta [Considerazioni e alternative per le chiavi di accesso a lungo termine](https://docs.aws.amazon.com/general/latest/gr/aws-sec-cred-types.html#alternatives-to-long-term-access-keys) nella *Riferimenti generali di AWS*. Se l'utente IAM dispone di chiavi di accesso attive, queste continuano a funzionare e consentono l' AWS CLI accesso tramite Tools for Windows PowerShell, AWS API o l'applicazione AWS Console Mobile.
+ [**Chiavi SSH da utilizzare con CodeCommit**](id_credentials_ssh-keys.md): una chiave pubblica SSH nel formato OpenSSH che può essere utilizzata per eseguire l'autenticazione con CodeCommit.
+ [**Certificati server**](id_credentials_server-certs.md): SSL/TLS certificati che è possibile utilizzare per l'autenticazione con alcuni AWS servizi. Ti consigliamo di utilizzare AWS Certificate Manager (ACM) per fornire, gestire e distribuire i certificati del server. Utilizza IAM solo quando è necessario il supporto alle connessioni HTTPS in una regione che non è supportata da ACM. Per informazioni sulle regioni che supportano ACM, consulta [Endpoint e quote di AWS Certificate Manager](https://docs.aws.amazon.com/general/latest/gr/acm.html) nella *Riferimenti generali di AWS*.
È possibile scegliere le credenziali che meglio si adattano all'utente IAM. Quando utilizzi la Console di gestione AWS per creare un utente IAM, devi scegliere di includere almeno una password o delle chiavi di accesso alla console. Per impostazione predefinita, un nuovo utente IAM creato utilizzando l' AWS API AWS CLI or non dispone di credenziali di alcun tipo. Il tipo di credenziali dell'utente IAM da creare dipende dal caso d'uso.
Hai le seguenti opzioni per amministrare le password, le chiavi di accesso e i dispositivi con l'autenticazione a più fattori (MFA):
+ **[Gestione di password per gli utenti IAM](id_credentials_passwords.md).** Crea e modifica le password che consentono l'accesso alla Console di gestione AWS. Imposta una policy per la password, così da implementare un minimo di complessità per la password. Consenti agli utenti IAM di cambiare le loro password.
+ **[Gestione delle chiavi di accesso per gli utenti IAM](id_credentials_access-keys.md).** Crea e aggiorna le chiavi di accesso per l'accesso programmatico alle risorse nel tuo account.
+ **[Abilita l'utente IAM all'autenticazione a più fattori (MFA)](id_credentials_mfa.md).** Come [best practice](best-practices.md), ti consigliamo di richiedere l'autenticazione a più fattori per tutti gli utenti IAM nel tuo account. Con l'MFA, gli utenti IAM devono fornire due forme di identificazione. Innanzitutto, forniscono le credenziali che fanno parte dell'identità utente (una password o una chiave di accesso). Inoltre, forniscono un codice numerico temporaneo generato su un dispositivo hardware o da un'applicazione su uno smartphone o un tablet.
+ **[Trovare password e chiavi di accesso non utilizzate](id_credentials_finding-unused.md).** Chiunque disponga di una password o di chiavi di accesso per il tuo account o di un utente IAM nel tuo account ha accesso alle tue AWS risorse. La [best practice](https://docs.aws.amazon.com/general/latest/gr/aws-access-keys-best-practices.html) di sicurezza consiste nel rimuovere le password e le chiavi di accesso quando gli utenti IAM non ne hanno più bisogno.
+ **[Download di un report delle credenziali per l'account](id_credentials_getting-report.md).** È possibile generare e scaricare un report delle credenziali che riporta tutti gli utenti IAM presenti nell'account e lo stato delle loro diverse credenziali, tra cui password, chiavi di accesso e dispositivi MFA. Per le password e le chiavi di accesso, il report sulle credenziali mostra se la password o la chiave di accesso siano state utilizzate di recente.
## Utenti e autorizzazioni IAM
Per impostazione predefinita, un nuovo utente IAM non ha le [autorizzazioni](access.md) per svolgere alcuna operazione. Non sono autorizzati a eseguire alcuna AWS operazione o ad accedere a nessuna AWS risorsa. Un vantaggio di avere singoli utenti IAM è quello di poter assegnare le autorizzazioni individualmente a ogni utente. Potresti assegnare autorizzazioni amministrative a pochi utenti, che quindi possono amministrare AWS le tue risorse e possono persino creare e gestire altri utenti IAM. Nella maggior parte dei casi, tuttavia, desideri limitare le autorizzazioni di un utente solo alle attività (AWS azioni o operazioni) e alle risorse necessarie per il lavoro.
Prendiamo a esempio un utente denominato Diego. Quando crei l'utente IAM`Diego`, crei una password per lui e alleghi le autorizzazioni che gli consentono di avviare un' EC2 istanza Amazon specifica e leggere (`GET`) informazioni da una tabella in un database Amazon RDS. Per le procedure su come creare gli utenti IAM e concedere loro le credenziali iniziali e le autorizzazioni, consulta [Crea un utente IAM nel tuo Account AWS](id_users_create.md). Per le procedure su come modificare le autorizzazioni agli utenti esistenti, consulta [Modificare le autorizzazioni per un utente IAM](id_users_change-permissions.md). Per le procedure su come cambiare la password dell'utente o le chiavi di accesso, consulta la pagina [Password utente in AWS](id_credentials_passwords.md) e [Gestione delle chiavi di accesso per gli utenti IAM](id_credentials_access-keys.md).
Puoi anche aggiungere un limite delle autorizzazioni agli utenti IAM. Un limite di autorizzazioni è una funzionalità avanzata che consente di utilizzare policy AWS gestite per limitare le autorizzazioni massime che una policy basata sull'identità può concedere a un utente o un ruolo IAM. Per ulteriori informazioni sui tipi di policy e i relativi utilizzi, consulta [Politiche e autorizzazioni in AWS Identity and Access Management](access_policies.md).
## Utenti IAM e account
Ogni utente IAM è associato a un solo Account AWS. Poiché gli utenti IAM sono definiti all'interno del tuo account Account AWS, non è necessario che abbiano un metodo di pagamento registrato. AWS Qualsiasi AWS attività svolta dagli utenti IAM nel tuo account viene fatturata sul tuo account.
Il numero e la dimensione delle risorse IAM in un AWS account sono limitati. Per ulteriori informazioni, consulta [IAM e AWS STS quote](reference_iam-quotas.md).
## Utenti IAM come account di servizio
Un utente IAM è una risorsa in IAM con credenziali e autorizzazioni associate. Un utente IAM può rappresentare una persona o un'applicazione che utilizza le proprie credenziali per effettuare richieste AWS . In genere questo si chiama *account di servizio*. Se nella tua applicazione scegli di utilizzare le credenziali a lungo termine di un utente IAM, **non integrare le chiavi di accesso direttamente nel codice dell'applicazione**. AWS SDKs E ti AWS Command Line Interface consentono di inserire le chiavi di accesso in posizioni note in modo da non doverle conservare in codice. Per ulteriori informazioni, consulta [Gestione corretta delle chiavi di accesso dell'utente IAM](https://docs.aws.amazon.com/general/latest/gr/aws-access-keys-best-practices.html#iam-user-access-keys) nella *Riferimenti generali di AWS*. Oppure, come best practice, puoi [utilizzare le credenziali di sicurezza temporanee (ruoli IAM) al posto delle chiavi di accesso a lungo termine](https://docs.aws.amazon.com/general/latest/gr/aws-access-keys-best-practices.html#use-roles).
# In che modo gli utenti IAM accedono a AWS
Per accedere Console di gestione AWS come utente IAM, devi fornire l'ID o l'alias dell'account oltre al nome utente e alla password. Quando l'amministratore ha creato l'utente IAM nella console, dovrebbero aver inviato le credenziali di accesso, ovvero nome utente e URL della pagina di accesso dell'account che include l'ID account o l'alias dell'account.
```
https://My_AWS_Account_ID.signin.aws.amazon.com/console/
```
**Suggerimento**
Per creare un segnalibro per la pagina di accesso al tuo account nel tuo browser Web, devi digitare manualmente l'URL della pagina di accesso per il tuo account nella voce segnalibro. Non utilizzare la funzione di segnalibro del tuo browser Web perché gli indirizzamenti possono oscurare l'URL della pagina di accesso.
Puoi effettuare l'accesso anche al seguente endpoint generale di accesso e digitare manualmente l'ID account o l'alias dell'account:
```
[https://console.aws.amazon.com/](https://console.aws.amazon.com/)
```
Per comodità, la pagina di AWS accesso utilizza un cookie del browser per ricordare il nome utente IAM e le informazioni sull'account. La volta successiva che l'utente accede a qualsiasi pagina di Console di gestione AWS, la console utilizza il cookie per reindirizzare l'utente alla pagina di accesso dell'account.
Hai accesso solo alle AWS risorse specificate dall'amministratore nella policy allegata alla tua identità utente IAM. Per lavorare nella console, devi disporre delle autorizzazioni necessarie per eseguire le azioni eseguite dalla console, come elencare e creare AWS risorse. Per ulteriori informazioni, consultare [Gestione degli accessi AWS alle risorse](access.md) e [Esempi di policy basate su identità IAM](access_policies_examples.md).
**Nota**
Se la tua organizzazione dispone di un suo sistema di identità, puoi pensare di creare un'opzione Single Sign-On (SSO). L'SSO consente agli utenti di accedere al Console di gestione AWS tuo account senza richiedere loro di avere un'identità utente IAM. L'SSO elimina inoltre la necessità per gli utenti di accedere al sito dell'organizzazione e di farlo AWS separatamente. Per ulteriori informazioni, consulta [Abilita l'accesso personalizzato del broker di identità alla AWS console](id_roles_providers_enable-console-custom-url.md).
**Registrazione dei dettagli di accesso in CloudTrail**
Se abiliti CloudTrail la registrazione degli eventi di accesso nei tuoi registri, devi sapere come CloudTrail scegli dove registrare gli eventi.
+ Se gli utenti accedono direttamente a una console, vengono reindirizzati a un endpoint di accesso globale o regionale, a seconda se la console del servizio selezionato supporti o meno le regioni. Ad esempio, la homepage della console principale supporta le regioni, perciò se effettui l'accesso al seguente URL:
```
https://alias.signin.aws.amazon.com/console
```
vieni reindirizzato a un dispositivo di accesso regionale, ad esempio`https://us-east-2.signin.aws.amazon.com`, con una voce di CloudTrail registro regionale nel registro dell'area dell'utente:
D'altra parte, la console Amazon S3 non supporta le regioni, perciò se si effettua l'accesso al seguente URL:
```
https://alias.signin.aws.amazon.com/console/s3
```
AWS reindirizza l'utente all'endpoint di accesso globale all'indirizzo`https://signin.aws.amazon.com`, generando una voce di registro globale. CloudTrail
+ È possibile richiedere manualmente un determinato endpoint di accesso regionale tramite l'accesso alla homepage della console principale con attivazione regionale, utilizzando una sintassi di URL simile a quella riportata di seguito:
```
https://alias.signin.aws.amazon.com/console?region=ap-southeast-1
```
AWS reindirizza l'utente all'endpoint di accesso `ap-southeast-1` regionale e genera un evento di registro regionale. CloudTrail
Per ulteriori informazioni su CloudTrail e IAM, consulta [Registrazione](https://docs.aws.amazon.com/IAM/latest/UserGuide/cloudtrail-integration.html) degli eventi IAM con. CloudTrail
Se gli utenti richiedono un accesso programmatico per funzionare con il tuo account, puoi creare una coppia di chiavi di accesso (un ID chiave di accesso e una chiave di accesso segreta) per ciascun utente, come descritto in . Tuttavia, ci sono alternative più sicure da considerare prima di creare le chiavi di accesso per gli utenti. Per ulteriori informazioni, consulta [Considerazioni e alternative per le chiavi di accesso a lungo termine](https://docs.aws.amazon.com/general/latest/gr/aws-sec-cred-types.html#alternatives-to-long-term-access-keys) nella *Riferimenti generali di AWS*.
## Risorse aggiuntive
Le seguenti risorse possono aiutarti a saperne di più sull' AWS accesso.
+ La [Guida per l’utente per l’accesso ad AWS](https://docs.aws.amazon.com/signin/latest/userguide/what-is-sign-in.html) aiuta a comprendere i diversi modi in cui è possibile accedere ad Amazon Web Services (AWS), a seconda del tipo di utente specifico.
+ Puoi accedere contemporaneamente a un massimo di cinque identità diverse in un unico browser web nella Console di gestione AWS. Per maggiori dettagli, consulta [Accesso a più account](https://docs.aws.amazon.com/awsconsolehelpdocs/latest/gsg/multisession.html) nella *Guida introduttiva alla Console di gestione AWS *.
# Accesso abilitato con MFA
Gli utenti configurati con dispositivi di [autenticazione a più fattori (MFA)](id_credentials_mfa.md) devono utilizzare i propri dispositivi MFA per accedere alla Console di gestione AWS. Dopo che l'utente ha inserito le proprie credenziali di accesso, AWS controlla l'account dell'utente per vedere se l'MFA è richiesta per quell'utente.
**Importante**
Se si utilizzano le credenziali della chiave di accesso e della chiave segreta per Console di gestione AWS l'accesso diretto con la chiamata AWS STS [https://docs.aws.amazon.com/STS/latest/APIReference/API_GetFederationToken.html](https://docs.aws.amazon.com/STS/latest/APIReference/API_GetFederationToken.html)API, l'autenticazione MFA NON sarà richiesta. Per ulteriori informazioni, consulta [Utilizzo delle chiavi di accesso e delle credenziali segrete per l’accesso alla console](securing_access-keys.md#console-access-security-keys).
Gli argomenti seguenti forniscono informazioni su come gli utenti completano l'accesso quando è necessaria l'autenticazione MFA.
**Topics**
+ [Più dispositivi MFA abilitati](#console_sign-in-multiple-mfa)
+ [Chiave di sicurezza FIDO](#console_sign-in-mfa-fido)
+ [Dispositivo MFA virtuale](#console_sign-in-mfa-virtual)
+ [Token TOTP hardware](#console_sign-in-mfa-hardware)
## Più dispositivi MFA abilitati
Se un utente accede Console di gestione AWS come utente Account AWS root o utente IAM con più dispositivi MFA abilitati per quell'account, deve utilizzare un solo dispositivo MFA per accedere. Dopo l'autenticazione con la password dell'utente, l'utente seleziona il tipo di dispositivo MFA che desidera utilizzare per completare l'autenticazione. Quindi all'utente viene richiesto di autenticarsi con il tipo di dispositivo selezionato.
## Chiave di sicurezza FIDO
Se l'autenticazione MFA è obbligatorio per l'utente, viene visualizzata una seconda pagina di accesso. L'utente deve toccare la chiave di sicurezza FIDO.
**Nota**
Gli utenti di Chrome non devono scegliere alcuna delle opzioni disponibili nel pop-up di Google Chrome che chiede di **verificare la tua identità con amazon.com**. Limitati a toccare la chiave di sicurezza.
A differenza di altri dispositivi MFA, le chiavi di sicurezza FIDO sono sempre aggiornate. Se una chiave di sicurezza FIDO viene smarrita o danneggiata, gli amministratori possono disattivarla. Per ulteriori informazioni, consulta [Disattivazione dei dispositivi MFA (console)](id_credentials_mfa_disable.md#deactive-mfa-console).
Per informazioni sui browser che supportano WebAuthn e sui dispositivi compatibili con FIDO che supportano, vedere. AWS [Configurazioni supportate per l'uso delle passkey e delle chiavi di sicurezza](id_credentials_mfa_fido_supported_configurations.md)
## Dispositivo MFA virtuale
Se l'autenticazione MFA è obbligatorio per l'utente, viene visualizzata una seconda pagina di accesso. Nella casella **MFA code (Codice MFA)**, l'utente deve immettere il codice numerico fornito dall'applicazione MFA.
Se il codice MFA è corretto, l'utente può accedere alla Console di gestione AWS. Se il codice non è corretto, l'utente può riprovare con un altro codice.
Un dispositivo MFA virtuale può andare fuori sincrono. Se un utente non riesce ad accedere Console di gestione AWS dopo diversi tentativi, all'utente viene richiesto di sincronizzare il dispositivo MFA virtuale. L'utente può seguire le istruzioni mostrate sullo schermo per sincronizzare il dispositivo MFA virtuale. Per informazioni su come sincronizzare un dispositivo per conto di un utente del tuo paese, consulta. Account AWS[Risincronizzare i dispositivi MFA virtuali e hardware](id_credentials_mfa_sync.md)
## Token TOTP hardware
Se l'autenticazione MFA è obbligatorio per l'utente, viene visualizzata una seconda pagina di accesso. Nella casella **MFA code** (Codice MFA), l'utente deve immettere il codice numerico fornito dal token TOTP hardware.
Se il codice MFA è corretto, l'utente può accedere alla Console di gestione AWS. Se il codice non è corretto, l'utente può riprovare con un altro codice.
Un token TOTP hardware può non essere sempre sincronizzato. Se un utente non riesce ad accedere Console di gestione AWS dopo diversi tentativi, all'utente viene richiesto di sincronizzare il dispositivo token MFA. L'utente può seguire le istruzioni visualizzate per sincronizzare il dispositivo token MFA. Per informazioni su come sincronizzare un dispositivo per conto di un utente del tuo, consulta. Account AWS[Risincronizzare i dispositivi MFA virtuali e hardware](id_credentials_mfa_sync.md)
# Crea un utente IAM nel tuo Account AWS
**Importante**
[Le migliori pratiche](best-practices.md) IAM consigliano di richiedere agli utenti umani di utilizzare la federazione con un provider di identità per accedere AWS utilizzando credenziali temporanee anziché utilizzare utenti IAM con credenziali a lungo termine. Ti consigliamo di utilizzare gli utenti IAM solo per [casi d'uso specifici](gs-identities-iam-users.md) non supportati dagli utenti federati.
Il processo con cui si crea un utente IAM e gli si consente di eseguire attività è costituito dalle fasi seguenti:
1. Crea l'[utente negli Console di gestione AWS](getting-started-workloads.md) strumenti per Windows PowerShell o utilizzando un'operazione AWS API. AWS CLI Se crei l'utente in Console di gestione AWS, i passaggi da 1 a 4 vengono gestiti automaticamente, in base alle tue scelte. Se crei gli utenti IAM in modo programmatico, allora devi eseguire ognuna di queste fasi singolarmente.
1. Creazione delle credenziali per l'utente, a seconda del tipo di accesso che l'utente richiede:
+ **Abilita l'accesso alla console: *facoltativo***: se l'utente deve accedere a Console di gestione AWS, [crea una password per](id_credentials_passwords_admin-change-user.md) l'utente. La disabilitazione dell'accesso alla console per un utente gli impedisce di accedere alla Console di gestione AWS tramite il nome utente e la password. Non modifica le autorizzazioni né impedisce l'accesso alla console utilizzando un ruolo assunto.
**Suggerimento**
Crea solo le credenziali di cui l'utente necessita. Ad esempio, per un utente che richiede l'accesso solo tramite Console di gestione AWS, non creare chiavi di accesso.
1. Concedi all'utente le autorizzazioni per eseguire le attività richieste. Consigliamo di inserire gli utenti IAM in gruppi e gestire le autorizzazioni tramite le policy collegate a tali gruppi. Tuttavia, puoi concedere autorizzazioni anche collegando le policy di autorizzazione direttamente all'utente. Se usi la console per aggiungere l'utente, puoi copiare le autorizzazioni da un utente esistente al nuovo utente.
Puoi anche aggiungere un [limite delle autorizzazioni](access_policies_boundaries.md) per limitare le autorizzazioni dell'utente specificando una policy che definisce le autorizzazioni massime che l'utente può avere. I limiti delle autorizzazioni non concedono alcuna autorizzazione.
Per istruzioni sulla creazione di una policy di autorizzazione personalizzata da utilizzare per concedere le autorizzazioni o impostare un limite delle autorizzazioni, consulta [Definire le autorizzazioni IAM personalizzate con policy gestite dal cliente](access_policies_create.md).
1. (Facoltativo) Aggiungere metadati all'utente collegando tag. Per ulteriori informazioni sull'utilizzo dei tag in IAM, consultare [Tag per AWS Identity and Access Management le risorse](id_tags.md).
1. Fornisci all'utente le necessarie informazioni di accesso. Queste informazioni includono la password e l'URL della console per la pagina di accesso all'account in cui l'utente immette tali credenziali. Per ulteriori informazioni, consulta [In che modo gli utenti IAM accedono a AWS](id_users_sign-in.md).
1. (Facoltativo) Configura [multi-factor authentication (MFA)](id_credentials_mfa.md) per l'utente. La MFA richiede all'utente di fornire un one-time-use codice ogni volta che accede a. Console di gestione AWS
1. (Facoltativo) Fornisci agli utenti IAM le autorizzazioni per gestire le proprie credenziali di sicurezza. (Per impostazione predefinita, gli utenti IAM non dispongono delle autorizzazioni per gestire le proprie credenziali). Per ulteriori informazioni, consulta [Consentire agli utenti IAM di cambiare le loro password](id_credentials_passwords_enable-user-change.md).
**Nota**
Se si utilizza la console per creare l'utente e si seleziona **L'utente deve creare una nuova password all'accesso successivo (consigliato)**, l'utente dispone delle autorizzazioni necessarie.
Per informazioni sulle autorizzazioni di cui hai bisogno per creare un utente, consulta la pagina [Autorizzazioni necessarie per accedere alle risorse IAM](access_permissions-required.md).
Per istruzioni sulla creazione di utenti IAM per casi d'uso specifici, consulta i seguenti argomenti:
+ [Creare un utente IAM per l'accesso di emergenza](getting-started-emergency-iam-user.md)
+ [Creare un utente IAM per carichi di lavoro che non possono utilizzare i ruoli IAM](getting-started-workloads.md)
# Visualizzare gli utenti IAM
Puoi elencare gli utenti IAM nel tuo Account AWS o in uno specifico gruppo IAM ed elencare tutti i gruppi IAM in cui si trova un utente. Per informazioni sulle autorizzazioni necessarie per elencare gli utenti, consulta [Autorizzazioni necessarie per accedere alle risorse IAM](access_permissions-required.md).
## Per visualizzare tutti gli utenti IAM nel tuo account
------
#### [ Console ]
1. Segui la procedura di accesso appropriata al tuo tipo di utente, come descritto nell'argomento [Come accedere ad AWS](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html) nella *Guida per l'utente di AWS Sign-In*.
1. Nella **home page della console IAM**, nel pannello di navigazione a sinistra, immetti la query nella casella di testo **Cerca IAM**.
1. Nel pannello di navigazione, seleziona **Utenti**.
La console mostra gli utenti IAM del tuo Account AWS.
------
#### [ AWS CLI ]
Esegui il comando seguente:
+ `[aws iam list-users](https://docs.aws.amazon.com/cli/latest/reference/iam/list-users.html)`
------
#### [ API ]
Chiamare l'operazione seguente:
+ `[ListUsers](https://docs.aws.amazon.com/IAM/latest/APIReference/API_ListUsers.html)`
------
## Per elencare gli utenti IAM in un gruppo IAM
------
#### [ Console ]
1. Segui la procedura di accesso appropriata al tuo tipo di utente, come descritto nell'argomento [Come accedere ad AWS](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html) nella *Guida per l'utente di AWS Sign-In*.
1. Nella **home page della console IAM**, nel pannello di navigazione a sinistra, immetti la query nella casella di testo **Cerca IAM**.
1. Nel pannello di navigazione, seleziona **Gruppi di utenti**.
1. Scegli il nome del gruppo di utenti.
Gli utenti IAM che sono membri del gruppo sono elencati nella scheda **Utenti**.
------
#### [ AWS CLI ]
Esegui il comando seguente:
+ `[aws iam get-group](https://docs.aws.amazon.com/cli/latest/reference/iam/get-group.html)`
------
#### [ API ]
Chiamare l'operazione seguente:
+ `[GetGroup](https://docs.aws.amazon.com/IAM/latest/APIReference/API_GetGroup.html)`
------
## Per elencare tutti i gruppi IAM in cui si trova un utente
------
#### [ Console ]
1. Segui la procedura di accesso appropriata al tuo tipo di utente, come descritto nell'argomento [Come accedere ad AWS](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html) nella *Guida per l'utente di AWS Sign-In*.
1. Nella **home page della console IAM**, nel pannello di navigazione a sinistra, immetti la query nella casella di testo **Cerca IAM**.
1. Nel pannello di navigazione, seleziona **Utenti**.
1. Nell'elenco degli **Utenti**, seleziona il nome dell'utente IAM.
1. Seleziona la scheda **Gruppi** per visualizzare l'elenco dei gruppi IAM che includono l'utente corrente.
------
#### [ AWS CLI ]
Esegui il comando seguente:
+ `[aws iam list-groups-for-user](https://docs.aws.amazon.com/cli/latest/reference/iam/list-groups-for-user.html)`
------
#### [ API ]
Chiamare l'operazione seguente:
+ `[ListGroupsForUser](https://docs.aws.amazon.com/IAM/latest/APIReference/API_ListGroupsForUser.html)`
------
## Fasi successive
Una volta che hai un elenco dei tuoi utenti IAM, puoi rinominare, eliminare o disattivare un utente IAM utilizzando le seguenti procedure.
+ [Ridenominare un utente IAM](id_users_rename.md)
+ [Rimuovere o disattivare un utente IAM](id_users_remove.md)
# Ridenominare un utente IAM
**Nota**
Come [procedura](best-practices.md) consigliata, si consiglia di richiedere agli utenti umani di utilizzare la federazione con un provider di identità per accedere AWS utilizzando credenziali temporanee. Se segui le best practice, non gestisci utenti e gruppi IAM. Gli utenti e i gruppi sono invece gestiti all'esterno AWS e possono accedere alle AWS risorse come identità *federata*. Un'identità federata è un utente dell'elenco utenti aziendale, un provider di identità Web, il AWS Directory Service, la directory Identity Center o qualsiasi utente che accede AWS ai servizi utilizzando le credenziali fornite tramite un'origine di identità. Le identità federate utilizzano i gruppi definiti dal rispettivo gestore di identità. Se lo utilizzi AWS IAM Identity Center, consulta [Gestisci le identità in IAM Identity Center nella](https://docs.aws.amazon.com/singlesignon/latest/userguide/manage-your-identity-source-sso.html) *Guida per l'AWS IAM Identity Center utente* per informazioni sulla creazione di utenti e gruppi in IAM Identity Center.
Amazon Web Services offre vari strumenti per gestire gli utenti IAM nel proprio Account AWS. Puoi elencare gli utenti IAM nel tuo account o in un gruppo di utenti oppure elencare tutti i gruppi IAM di cui un utente è membro. È possibile rinominare o modificare il percorso di un utente IAM. Se desideri utilizzare le identità federate invece degli utenti IAM, puoi eliminare un utente IAM dall'account AWS o disattivarlo.
Per ulteriori informazioni sull'aggiunta, la modifica o la rimozione di policy gestite per un utente IAM, consulta [Modificare le autorizzazioni per un utente IAM](id_users_change-permissions.md). Per informazioni sulla gestione di policy in linea per utenti IAM, consulta [Aggiunta e rimozione di autorizzazioni per identità IAM](access_policies_manage-attach-detach.md), [Modificare le policy IAM](access_policies_manage-edit.md) e [Eliminare le policy IAM](access_policies_manage-delete.md). Come best practice, utilizza le policy gestite anziché le policy in linea. Le *policy gestite da AWS * concedono autorizzazioni per numerosi casi d'uso comuni. Tieni presente che le policy AWS gestite potrebbero non concedere le autorizzazioni con il privilegio minimo per i tuoi casi d'uso specifici, poiché sono disponibili per l'uso da parte di tutti i clienti. AWS Ti consigliamo pertanto di ridurre ulteriormente le autorizzazioni definendo [Policy gestite dal cliente](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#customer-managed-policies) specifiche per i tuoi casi d'uso. Per ulteriori informazioni, consulta [AWS politiche gestite](access_policies_managed-vs-inline.md#aws-managed-policies). Per ulteriori informazioni sulle politiche AWS gestite progettate per funzioni lavorative specifiche, consulta. [AWS politiche gestite per le funzioni lavorative](access_policies_job-functions.md)
Per ulteriori informazioni sulla convalida delle policy IAM, consulta [Convalida delle policy IAM](access_policies_policy-validator.md).
**Suggerimento**
[IAM Access Analyzer](https://docs.aws.amazon.com/IAM/latest/UserGuide/what-is-access-analyzer.html) analizza i servizi e le azioni utilizzati dai tuoi ruoli IAM e quindi genera una policy dettagliata che puoi utilizzare. Dopo aver testato ogni policy generata, puoi distribuirla nell'ambiente di produzione. In questo modo si garantisce di concedere solo le autorizzazioni necessarie ai carichi di lavoro. Per ulteriori informazioni sulla generazione delle policy, consulta [IAM Access Analyzer policy generation](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-generation.html).
Per informazioni sulla gestione delle password utente IAM, consulta [Gestione delle password per gli utenti IAM](id_credentials_passwords_admin-change-user.md).
## Ridenominazione di un utente IAM
Per modificare il nome o il percorso di un utente, è necessario utilizzare gli AWS CLI strumenti per Windows PowerShell o AWS l'API. Non è disponibile alcuna opzione nella console per rinominare un utente. Per informazioni sulle autorizzazioni necessarie per ridenominare un utente, consulta [Autorizzazioni necessarie per accedere alle risorse IAM](access_permissions-required.md).
Quando si modifica il nome o il percorso di un utente, si verificano i seguenti eventi:
+ Qualsiasi policy collegata all'utente viene mantenuta per l'utente con il nuovo nome.
+ L'utente rimane negli stessi gruppi IAM con il nuovo nome.
+ L'ID univoco dell'utente rimane invariato. Per ulteriori informazioni su unique IDs, consulta[Identificatori univoci](reference_identifiers.md#identifiers-unique-ids).
+ Qualsiasi policy relativa alle risorse o ai ruoli che fa riferimento all'utente *come principale* (l'utente a cui viene consentito l'accesso) viene automaticamente aggiornata per l'utilizzo del nuovo nome o percorso. Ad esempio, qualsiasi policy basata su code in Amazon SQS o basata sulle risorse in Amazon S3 viene aggiornata automaticamente per utilizzare il nuovo nome e percorso.
IAM non aggiorna automaticamente le policy che fanno riferimento all'utente *come una risorsa* per l'utilizzo del nuovo nome o percorso, è necessario un aggiornamento manuale. Ad esempio, si immagini che l'utente `Richard` disponga di una policy collegata che permette di gestire le credenziali di sicurezza dell'utente. Se un amministratore rinomina `Richard` in `Rich`, l'amministratore deve anche aggiornare questa policy per modificar la risorsa da:
```
arn:aws:iam::111122223333:user/division_abc/subdivision_xyz/Richard
```
a:
```
arn:aws:iam::111122223333:user/division_abc/subdivision_xyz/Rich
```
Ciò è valido anche se un amministratore cambia il percorso, l'amministratore deve aggiornare la policy in base al nuovo percorso per l'utente.
### Per rinominare un utente
+ AWS CLI: [aws iam update-user](https://docs.aws.amazon.com/cli/latest/reference/iam/update-user.html)
+ AWS API: [UpdateUser](https://docs.aws.amazon.com/IAM/latest/APIReference/API_UpdateUser.html)
# Rimuovere o disattivare un utente IAM
[Le migliori pratiche](best-practices.md#remove-credentials) consigliano di rimuovere gli utenti IAM non utilizzati dal tuo Account AWS. Se desideri conservare le credenziali dell'utente IAM per uso futuro, invece di eliminarle dall'account è possibile disattivare l'accesso dell'utente. Per ulteriori informazioni, consulta [Disattivazione di un utente IAM](#id_users_deactivating).
**avvertimento**
Una volta che un utente IAM e le relative chiavi di accesso vengono eliminate, non possono essere ripristinate o recuperate.
## Prerequisito: visualizzazione dell'accesso dell'utente IAM
Prima di rimuovere un utente, esamina la sua attività recente a livello di servizio. Questo aiuta a prevenire la rimozione dell'accesso da parte di un principale (persona o applicazione) che lo utilizza. Per ulteriori informazioni sulla visualizzazione delle ultime informazioni di accesso, vedere [Perfeziona le autorizzazioni AWS utilizzando le informazioni dell'ultimo accesso](access_policies_last-accessed.md).
## Rimozione di un utente IAM (console)
Quando utilizzi Console di gestione AWS per rimuovere un utente IAM, IAM elimina automaticamente le seguenti informazioni associate:
+ L'identificatore dell'utente IAM
+ Qualsiasi appartenenza al gruppo, ovvero, l'utente IAM viene rimosso da qualsiasi gruppo di cui l'utente IAM era membro
+ Qualsiasi password associata all'utente IAM
+ Tutte le policy in linea integrate nell'utente IAM (le policy applicate a un utente IAM tramite le autorizzazioni del gruppo di utenti non sono interessate)
**Nota**
IAM rimuove tutte le policy gestite collegate all'utente IAM quando si elimina l'utente, ma non elimina le policy gestite.
+ Qualsiasi dispositivo MFA associato
### Per rimuovere un utente IAM (console)
------
#### [ Console ]
1. Segui la procedura di accesso appropriata al tuo tipo di utente, come descritto nell'argomento [Come accedere ad AWS](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html) nella *Guida per l'utente di AWS Sign-In*.
1. Nella **home page della console IAM**, nel pannello di navigazione a sinistra, immetti la query nella casella di testo **Cerca IAM**.
1. Nel riquadro di navigazione seleziona **Utenti**, quindi seleziona la casella di controllo accanto al nome dell'utente IAM da eliminare.
1. Nella parte superiore della pagina, scegli **Delete (Elimina)**.
**Nota**
Se uno qualsiasi degli utenti dispone di chiavi di accesso attive, è necessario disattivarle prima di eliminare gli utenti. Per ulteriori informazioni, consulta [Per disattivare una chiave di accesso per un utente IAM](access-keys-admin-managed.md#admin-deactivate-access-key).
1. Nella casella di dialogo di conferma, inserisci il nome utente nel campo di inserimento testo per confermare l'eliminazione dell'utente. Scegli **Elimina**.
La console visualizza una notifica di stato che indica che l'utente IAM è stato eliminato.
------
## Eliminazione di un utente IAM (AWS CLI)
A differenza di Console di gestione AWS, quando elimini un utente IAM con AWS CLI, devi eliminare manualmente gli elementi collegati all'utente IAM. Questa procedura illustra il processo.
**Per eliminare un utente IAM dal tuo Account AWS (AWS CLI)**
1. Eliminare la password dell'utente, se l'utente ne ha una.
`[aws iam delete-login-profile](https://docs.aws.amazon.com/cli/latest/reference/iam/delete-login-profile.html)`
1. Eliminare le chiavi di accesso dell'utente, se disponibili.
`[aws iam list-access-keys](https://docs.aws.amazon.com/cli/latest/reference/iam/list-access-keys.html)` (per elencare le chiavi di accesso dell'utente) e `[aws iam delete-access-key](https://docs.aws.amazon.com/cli/latest/reference/iam/delete-access-key.html)`
1. Eliminare il certificato di firma dell'utente. Si noti che quando si eliminano delle credenziali di sicurezza queste vengono viene eliminate per sempre e non possono più essere recuperate.
`[aws iam list-signing-certificates](https://docs.aws.amazon.com/cli/latest/reference/iam/list-signing-certificates.html)` (per elencare i certificati di firma dell'utente) e `[aws iam delete-signing-certificate](https://docs.aws.amazon.com/cli/latest/reference/iam/delete-signing-certificate.html)`
1. Eliminare la chiave pubblica SSH dell'utente, se disponibile.
`[aws iam list-ssh-public-keys](https://docs.aws.amazon.com/cli/latest/reference/iam/list-ssh-public-keys.html)` (per elencare le chiavi pubbliche SSH dell'utente) e `[aws iam delete-ssh-public-key](https://docs.aws.amazon.com/cli/latest/reference/iam/delete-ssh-public-key.html)`
1. Eliminare le credenziali Git dell'utente.
`[aws iam list-service-specific-credentials](https://docs.aws.amazon.com/cli/latest/reference/iam/list-service-specific-credentials.html)` (per elencare le credenziali git dell'utente) e `[aws iam delete-service-specific-credential](https://docs.aws.amazon.com/cli/latest/reference/iam/delete-service-specific-credential.html)`
1. Disattivare il dispositivo Multi-Factor Authentication (MFA), se uno è disponibile.
`[aws iam list-mfa-devices](https://docs.aws.amazon.com/cli/latest/reference/iam/list-mfa-devices.html)` (per elencare i dispositivi MFA dell'utente), `[aws iam deactivate-mfa-device](https://docs.aws.amazon.com/cli/latest/reference/iam/deactivate-mfa-device.html)` (per disattivare il dispositivo) e `[aws iam delete-virtual-mfa-device](https://docs.aws.amazon.com/cli/latest/reference/iam/delete-virtual-mfa-device.html)` (per eliminare definitivamente un dispositivo MFA virtuale)
1. Eliminare le policy inline dell'utente.
`[aws iam list-user-policies](https://docs.aws.amazon.com/cli/latest/reference/iam/list-user-policies.html)` (per elencare le policy inline per l'utente) e [https://docs.aws.amazon.com/cli/latest/reference/iam/delete-user-policy.html](https://docs.aws.amazon.com/cli/latest/reference/iam/delete-user-policy.html) (per eliminare la policy)
1. Scollegare le policy gestite collegate all'utente.
`[aws iam list-attached-user-policies](https://docs.aws.amazon.com/cli/latest/reference/iam/list-attached-user-policies.html)` (per elencare le policy gestite collegate all'utente) e [https://docs.aws.amazon.com/cli/latest/reference/iam/detach-user-policy.html](https://docs.aws.amazon.com/cli/latest/reference/iam/detach-user-policy.html) (per scollegare la policy)
1. Rimuovere l'utente da qualsiasi gruppo IAM.
`[aws iam list-groups-for-user](https://docs.aws.amazon.com/cli/latest/reference/iam/list-groups-for-user.html)` (per elencare i gruppi IAM a cui appartiene l'utente) e `[aws iam remove-user-from-group](https://docs.aws.amazon.com/cli/latest/reference/iam/remove-user-from-group.html)`
1. Eliminare l’utente.
`[aws iam delete-user](https://docs.aws.amazon.com/cli/latest/reference/iam/delete-user.html)`
## Disattivazione di un utente IAM
Potrebbe essere necessario disattivare un utente IAM mentre è temporaneamente lontano dall'azienda. Puoi bloccare l'accesso ad AWS pur lasciando attive le sue credenziali di utente IAM.
Per disattivare un utente, crea e collega una policy per negare all'utente l'accesso a AWS. Puoi ripristinare l'accesso dell'utente in un secondo momento.
Di seguito sono riportati due esempi di policy di diniego che puoi collegare a un utente per negargli l'accesso.
La seguente policy non include un limite di tempo. È necessario rimuovere la policy per ripristinare l'accesso dell'utente.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Deny",
"Action": "*",
"Resource": "*"
}
]
}
```
------
La seguente policy include una condizione che avvia la policy il 24 dicembre 2024 alle 23:59 (UTC) e la termina il 28 febbraio 2025 alle 23:59 (UTC).
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Deny",
"Action": "*",
"Resource": "*",
"Condition": {
"DateGreaterThan": {"aws:CurrentTime": "2024-12-24T23:59:59Z"},
"DateLessThan": {"aws:CurrentTime": "2025-02-28T23:59:59Z"}
}
}
]
}
```
------
# Controlla l'accesso degli utenti IAM a Console di gestione AWS
Gli utenti IAM con autorizzazione che accedono al tuo account Account AWS tramite il Console di gestione AWS possono accedere alle tue risorse. AWS L'elenco seguente mostra i modi in cui puoi concedere agli utenti IAM l'accesso alle tue Account AWS risorse tramite Console di gestione AWS. Mostra anche come gli utenti IAM possono accedere ad altre funzionalità AWS dell'account tramite il AWS sito web.
**Nota**
L'uso di IAM non comporta alcun costo.
**Il Console di gestione AWS**
È possibile creare una password per ciascun utente IAM che deve accedere alla Console di gestione AWS. Gli utenti accedono alla console tramite la pagina di Account AWS accesso abilitata a IAM. Per informazioni su come visualizzare la pagina di accesso, consulta [Come accedere ad AWS](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html) nella *Guida per l'utente di Accedi ad AWS *. Per informazioni sulla creazione di password , consulta [Password utente in AWS](id_credentials_passwords.md).
Puoi impedire a un utente IAM di accedere a Console di gestione AWS rimuovendo la sua password. Ciò impedisce loro di accedere Console di gestione AWS utilizzando le proprie credenziali di accesso. Non modifica le autorizzazioni né impedisce l'accesso alla console utilizzando un ruolo assunto. Se l'utente dispone di chiavi di accesso attive, queste continuano a funzionare e consentono l' AWS CLI accesso tramite Tools for Windows PowerShell, AWS API o AWS Console Mobile Application.
** AWS Le tue risorse, come istanze Amazon EC2, bucket Amazon S3 e così via**
Anche se gli utenti IAM dispongono di password, hanno ancora bisogno dell'autorizzazione per accedere alle risorse AWS . Quando crei un utente IAM, questo non dispone di autorizzazioni per impostazione predefinita. Per assegnare agli utenti IAM le autorizzazioni necessarie, puoi associare loro delle policy. Se disponi di molti utenti IAM che eseguiranno le stesse attività con le stesse risorse, puoi assegnare tali utenti IAM a un gruppo. Quindi assegna le autorizzazioni a tale gruppo. Per informazioni sulla creazione di utenti e gruppi IAM, vedere [Identità IAM](id.md). Per ulteriori informazioni sull'utilizzo di policy per impostare le autorizzazioni, vedere [Gestione degli accessi AWS alle risorse](access.md).
**AWS Forum di discussione**
Chiunque può leggere i post sui [forum di discussione AWS](https://forums.aws.amazon.com/). Gli utenti che desiderano pubblicare domande o commenti sul Forum di AWS discussione possono farlo utilizzando il proprio nome utente. La prima volta che un utente pubblica un post sul Forum di AWS discussione, gli viene richiesto di inserire un soprannome e un indirizzo e-mail. Solo quell'utente può usare quel soprannome nei forum di AWS discussione.
**Le tue informazioni Account AWS di fatturazione e utilizzo**
Puoi consentire agli utenti di accedere alle tue informazioni di Account AWS fatturazione e utilizzo. Per ulteriori informazioni, consulta [Controllo dell'accesso alle informazioni di fatturazione](https://docs.aws.amazon.com/awsaccountbilling/latest/aboutv2/control-access-billing.html) nella *Guida per l'utente di AWS Billing *.
**Le informazioni del tuo Account AWS profilo**
Gli utenti non possono accedere alle informazioni Account AWS del tuo profilo.
**Le tue credenziali Account AWS di sicurezza**
Gli utenti non possono accedere alle tue credenziali Account AWS di sicurezza.
**Nota**
Le policy IAM controllano l'accesso indipendentemente dall'interfaccia. Ad esempio, è possibile fornire a un utente la password per accedere alla Console di gestione AWS. Le policy per tale utente (o per qualsiasi gruppo cui l'utente appartiene) determina ciò che l'utente può fare nella Console di gestione AWS. In alternativa, puoi fornire all'utente le chiavi di AWS accesso a cui effettuare AWS chiamate API. In questo caso, le policy controllano le operazioni che l'utente può richiamare tramite una libreria o un client che utilizza le chiavi di accesso per l'autenticazione.
# Modificare le autorizzazioni per un utente IAM
[Puoi modificare le autorizzazioni per un utente IAM del tuo paese Account AWS modificando l'appartenenza ai gruppi, copiando le autorizzazioni da un utente esistente, allegando le policy direttamente a un utente o impostando un limite di autorizzazioni.](access_policies_boundaries.md) Il limite delle autorizzazioni controlla il numero massimo di autorizzazioni che è possibile concedere a un utente. I limiti delle autorizzazioni sono una funzionalità avanzata. AWS
Per informazioni sulle autorizzazioni necessarie per modificare le autorizzazioni per un utente, consulta la pagina [Autorizzazioni necessarie per accedere alle risorse IAM](access_permissions-required.md).
**Topics**
+ [Visualizzazione dell'accesso utente](#users-modify_prerequisites)
+ [Generazione di una policy basata sull'attività di accesso di un utente](#users_change_permissions-gen-policy)
+ [Aggiunta di autorizzazioni a un utente (console)](#users_change_permissions-add-console)
+ [Modifica delle autorizzazioni per un utente (console)](#users_change_permissions-change-console)
+ [Per rimuovere una policy delle autorizzazioni da un utente (console)](#users_change_permissions-remove-policy-console)
+ [Per rimuovere il limite delle autorizzazioni da un utente (console)](#users_change_permissions-remove-boundary-console)
+ [Aggiungere e rimuovere le autorizzazioni (AWS CLI o AWS API) di un utente](#users_change_permissions-add-programmatic)
## Visualizzazione dell'accesso utente
Prima di modificare le autorizzazioni per un utente, è opportuno esaminare la sua attività recente a livello di servizio. È un'opzione importante per non rimuovere l'accesso da parte di un principale (persona o applicazione) che la sta utilizzando. Per ulteriori informazioni sulla visualizzazione delle ultime informazioni di accesso, vedere [Perfeziona le autorizzazioni AWS utilizzando le informazioni dell'ultimo accesso](access_policies_last-accessed.md).
## Generazione di una policy basata sull'attività di accesso di un utente
Talvolta, è possibile concedere autorizzazioni a un'entità IAM (utente o ruolo) oltre a quelle richieste. Per ottimizzare le autorizzazioni concesse, puoi generare una policy IAM basata sull'attività di accesso per un'entità. IAM Access Analyzer esamina AWS CloudTrail i log e genera un modello di policy che contiene le autorizzazioni utilizzate dall'entità nell'intervallo di date specificato. È possibile utilizzare il modello per creare una policy gestita con autorizzazioni granulari e quindi collegarla al ruolo IAM. In questo modo, concedi solo le autorizzazioni necessarie all'utente o al ruolo per interagire con le AWS risorse per il tuo caso d'uso specifico. Per ulteriori informazioni, consulta [Generazione di policy per Sistema di analisi degli accessi IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-generation.html).
## Aggiunta di autorizzazioni a un utente (console)
Per aggiungere policy di autorizzazione a un utente, IAM offre tre diverse possibilità:
+ **Aggiungi l'utente IAM a un gruppo IAM**: rende l'utente membro di un gruppo. Le policy del gruppo vengono collegate all'utente.
+ **Copia le autorizzazioni da un utente IAM esistente**: copia tutte le appartenenze ai gruppi, le policy gestite collegate, le policy in linea e tutti i limiti delle autorizzazioni esistenti dall'utente di origine.
+ **Collega direttamente le policy all'utente IAM**: collega una policy gestita direttamente all'utente. Per una gestione più semplice delle autorizzazioni, collega le policy a un gruppo e rendi quindi gli utenti IAM membri dei gruppi appropriati.
**Importante**
Se l'utente ha un limite delle autorizzazioni, non sarà possibile aggiungere più autorizzazioni di quante ne consenta il limite delle autorizzazioni.
### Per aggiungere le autorizzazioni aggiungendo l'utente IAM a un gruppo
L'aggiunta di un utente IAM a un gruppo IAM aggiorna immediatamente le autorizzazioni dell'utente con le autorizzazioni definite per il gruppo.
------
#### [ Console ]
1. Segui la procedura di accesso appropriata al tuo tipo di utente, come descritto nell'argomento [Come accedere ad AWS](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html) nella *Guida per l'utente di AWS Sign-In*.
1. Nella **home page della console IAM**, nel pannello di navigazione a sinistra, immetti la query nella casella di testo **Cerca IAM**.
1. Nel pannello di navigazione, seleziona **Utenti**.
1. Nell'elenco degli **Utenti**, seleziona il nome dell'utente IAM.
1. Seleziona la scheda **Gruppi** per visualizzare l'elenco dei gruppi IAM che includono l'utente corrente.
1. Scegli **Aggiungi utente ai gruppi**.
1. Seleziona la casella di controllo per ciascun gruppo in cui si desidera includere l'utente. L'elenco mostra il nome di ciascun gruppo e le policy che l'utente riceve se diventa un membro di tale gruppo.
1. (Facoltativo) Puoi scegliere **Crea gruppo** per definire un nuovo gruppo. Ciò è utile se desideri aggiungere l'utente a un gruppo con policy collegate diverse rispetto ai gruppi esistenti:
1. Nella nuova scheda, per **User group name** (Nome gruppo di utenti), digita un nome per il nuovo gruppo.
**Nota**
Il numero e la dimensione delle risorse IAM in un AWS account sono limitati. Per ulteriori informazioni, consulta [IAM e AWS STS quote](reference_iam-quotas.md). I nomi dei gruppi possono essere una combinazione di un massimo di 128 lettere, cifre e dei seguenti caratteri: più (\$1), uguale (=), virgola (,), punto (.), chiocciola (@) e trattino (-). I nomi devono essere univoci all'interno di un account. Non si distinguono per caso. Ad esempio, non è possibile creare due gruppi chiamati *TESTGROUP* e *testgroup*.
1. Seleziona una o più caselle di controllo per le policy gestite da collegare al gruppo. È inoltre possibile creare una nuova policy gestita selezionando **Create policy (Crea policy)**. In questo caso, tornare a questa scheda o finestra del browser quando la nuova policy è stata completata, selezionare **Refresh (Aggiorna)** e quindi selezionare la nuova policy da collegare al gruppo. Per ulteriori informazioni, consulta [Definire le autorizzazioni IAM personalizzate con policy gestite dal cliente](access_policies_create.md).
1. Scegli **Create user group** (Crea gruppo di utenti).
1. Tornare alla scheda originale e aggiornare l'elenco di gruppi. Quindi seleziona la casella di controllo del nuovo gruppo.
1. Scegli **Aggiungi utente ai gruppi**.
La console visualizza un messaggio di stato che informa che l'utente è stato aggiunto ai gruppi specificati.
------
### Per aggiungere le autorizzazioni tramite copia da un altro utente IAM
Se scegli di aggiungere autorizzazioni a un utente IAM copiando le autorizzazioni, IAM copia tutte le appartenenze ai gruppi, le policy gestite collegate, le policy in linea e tutti i limiti delle autorizzazioni esistenti dall'utente specificato e li applica immediatamente all'utente correntemente selezionato.
------
#### [ Console ]
1. Segui la procedura di accesso appropriata al tuo tipo di utente, come descritto nell'argomento [Come accedere ad AWS](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html) nella *Guida per l'utente di AWS Sign-In*.
1. Nella **home page della console IAM**, nel pannello di navigazione a sinistra, immetti la query nella casella di testo **Cerca IAM**.
1. Nel pannello di navigazione, seleziona **Utenti**.
1. Nell'elenco degli **Utenti**, seleziona il nome dell'utente IAM.
1. Nella scheda **Autorizzazioni**, scegli **Aggiungi autorizzazioni**.
1. Nella pagina **Aggiungi autorizzazioni**, scegli **Copia autorizzazioni**. L'elenco mostra gli utenti IAM disponibili con le relative appartenenze ai gruppi e le policy collegate.
1. Selezionare il pulsante di opzione accanto all'utente che dispone delle autorizzazioni che si desidera copiare.
1. Seleziona **Next** (Successivo) per visualizzare l'elenco delle modifiche che devono essere apportate all'utente. Selezionare quindi **Add permissions (Aggiungi autorizzazioni)**.
La console visualizza un messaggio di stato che ti informa che le autorizzazioni sono state copiate dall'utente IAM che hai specificato.
------
### Per aggiungere le autorizzazioni collegando le policy direttamente all'utente IAM
Puoi collegare una policy gestita direttamente a un utente IAM. Le autorizzazioni aggiornate vengono applicate immediatamente.
------
#### [ Console ]
1. Segui la procedura di accesso appropriata al tuo tipo di utente, come descritto nell'argomento [Come accedere ad AWS](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html) nella *Guida per l'utente di AWS Sign-In*.
1. Nella **home page della console IAM**, nel pannello di navigazione a sinistra, immetti la query nella casella di testo **Cerca IAM**.
1. Nel pannello di navigazione, seleziona **Utenti**.
1. Nell'elenco degli **Utenti**, seleziona il nome dell'utente IAM.
1. Nella scheda **Autorizzazioni**, scegli **Aggiungi autorizzazioni**.
1. Nella pagina **Aggiungi autorizzazioni**, seleziona **Collega direttamente le policy**. L'elenco **Policy di autorizzazione** mostra le policy disponibili insieme ai relativi tipi di policy e alle entità collegate.
1. Seleziona il pulsante di opzione accanto al **nome della policy** che desideri collegare.
1. Seleziona **Next** (Successivo) per visualizzare l'elenco delle modifiche che devono essere apportate all'utente. Selezionare quindi **Add permissions (Aggiungi autorizzazioni)**.
La console visualizza un messaggio di stato che informa che la policy è stata aggiunta all'utente IAM specificato.
------
### Per impostare il limite delle autorizzazioni per un utente IAM
Un limite di autorizzazioni è una funzionalità avanzata per la gestione delle autorizzazioni AWS che viene utilizzata per impostare le autorizzazioni massime che un utente IAM può avere. L'impostazione di un limite delle autorizzazioni limita immediatamente le autorizzazioni degli utenti IAM al limite, indipendentemente dalle altre autorizzazioni concesse.
------
#### [ Console ]
1. Segui la procedura di accesso appropriata al tuo tipo di utente, come descritto nell'argomento [Come accedere ad AWS](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html) nella *Guida per l'utente di AWS Sign-In*.
1. Nella **home page della console IAM**, nel pannello di navigazione a sinistra, immetti la query nella casella di testo **Cerca IAM**.
1. Nel pannello di navigazione, seleziona **Utenti**.
1. Nell'elenco **Utenti**, scegli il nome dell'utente IAM di cui si desidera modificare il limite delle autorizzazioni.
1. Scegli la scheda **Autorizzazioni**. Se necessario, apri la sezione **Permissions boundary** (Limite delle autorizzazioni), quindi seleziona **Set permissions boundary** (Imposta limite delle autorizzazioni).
1. Nella pagina **Imposta il limite delle autorizzazioni**, in **Policy delle autorizzazioni**, seleziona la policy da utilizzare per il limite delle autorizzazioni.
1. Scegliere **Set boundary (Imposta limite)**.
La console visualizza un messaggio di stato che informa che il limite delle autorizzazioni è stato aggiunto.
------
## Modifica delle autorizzazioni per un utente (console)
IAM consente di modificare le autorizzazioni associate a un utente nei modi seguenti:
+ **Modifica una policy di autorizzazione**: è possibile modificare la policy in linea di un utente, la policy in linea del gruppo dell'utente o la policy gestita collegato all'utente direttamente o da un gruppo. Se l'utente ha un limite delle autorizzazioni, non è possibile fornire più autorizzazioni di quante ne consenta la policy utilizzata come limite delle autorizzazioni dell'utente.
+ **Modifica del limite delle autorizzazioni**: modifica la policy utilizzata come limite delle autorizzazioni per l'utente. In questo modo è possibile ampliare o limitare il numero massimo di autorizzazioni che un utente può avere.
### Modifica di una policy di autorizzazione collegata a un utente
La modifica delle autorizzazioni aggiorna immediatamente l'accesso dell'utente.
------
#### [ Console ]
1. Segui la procedura di accesso appropriata al tuo tipo di utente, come descritto nell'argomento [Come accedere ad AWS](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html) nella *Guida per l'utente di AWS Sign-In*.
1. Nella **home page della console IAM**, nel pannello di navigazione a sinistra, immetti la query nella casella di testo **Cerca IAM**.
1. Nel pannello di navigazione, seleziona **Utenti**.
1. Nell'elenco **Utenti**, scegli il nome dell'utente IAM di cui si desidera modificare il limite delle autorizzazioni.
1. Scegli la scheda **Autorizzazioni**. Se necessario, apri la sezione **Limite delle autorizzazioni**.
1. Selezionare il nome della policy da modificare per visualizzare i relativi dettagli. Seleziona la scheda **Entità collegate** per visualizzare le altre entità (utenti, gruppi e ruoli IAM) che potrebbero essere interessate dalla modifica della policy.
1. Selezionare la scheda **Permissions (Autorizzazioni)** e rivedere le autorizzazioni concesse dalla policy. Per apportare modifiche alle autorizzazioni, scegli **Modifica**.
1. Modifica la policy e risolvi eventuali suggerimenti [di convalida della policy](access_policies_policy-validator.md). Per ulteriori informazioni, consulta [Modificare le policy IAM](access_policies_manage-edit.md).
1. Seleziona **Successivo**, esamina il riepilogo della policy, quindi scegli **Salva le modifiche**.
La console visualizza un messaggio di stato che informa che la policy è stata aggiornata.
------
### Per modificare il limite delle autorizzazioni per un utente
La modifica del limite delle autorizzazioni aggiorna immediatamente l'accesso dell'utente.
------
#### [ Console ]
1. Segui la procedura di accesso appropriata al tuo tipo di utente, come descritto nell'argomento [Come accedere ad AWS](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html) nella *Guida per l'utente di AWS Sign-In*.
1. Nella **home page della console IAM**, nel pannello di navigazione a sinistra, immetti la query nella casella di testo **Cerca IAM**.
1. Nel pannello di navigazione, seleziona **Utenti**.
1. Nell'elenco **Utenti**, scegli il nome dell'utente IAM di cui si desidera modificare il limite delle autorizzazioni.
1. Scegli la scheda **Autorizzazioni**. Se necessario, aprire la sezione **Permissions boundary (Limite delle autorizzazioni)** e selezionare **Change boundary (Modifica limite)**.
1. Selezionare la policy da utilizzare per il limite delle autorizzazioni.
1. Scegliere **Set boundary (Imposta limite)**.
La console visualizza un messaggio di stato che informa che il limite delle autorizzazioni è stato modificato.
------
## Per rimuovere una policy delle autorizzazioni da un utente (console)
La rimozione di una policy di autorizzazioni aggiorna immediatamente l'accesso dell'utente.
------
#### [ Console ]
1. Segui la procedura di accesso appropriata al tuo tipo di utente, come descritto nell'argomento [Come accedere ad AWS](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html) nella *Guida per l'utente di AWS Sign-In*.
1. Nella **home page della console IAM**, nel pannello di navigazione a sinistra, immetti la query nella casella di testo **Cerca IAM**.
1. Nel pannello di navigazione, seleziona **Utenti**.
1. Selezionare il nome dell'utente per cui rimuovere le policy di autorizzazioni.
1. Scegli la scheda **Autorizzazioni**.
1. Se desideri rimuovere le autorizzazioni rimuovendo una policy esistente, visualizza la colonna **Collegato tramite** per comprendere il modo in cui l'utente riceve la policy prima di selezionare **Rimuovi** per rimuoverla:
+ Se la policy è applicata tramite l'appartenenza a un gruppo, seleziona **X** per rimuovere l'utente dal gruppo. Ricordare che potrebbero essere presenti più policy associate a un singolo gruppo. Se si rimuove un utente da un gruppo, l'utente perde l'accesso a *tutte* le policy che ricevute tramite l'appartenenza a tale gruppo.
+ Se la policy è una policy gestita collegata direttamente all'utente, scegliendo **Remove** (Rimuovi) questa sarà scollegata dall'utente. Ciò non influisce sulla policy stessa o su qualsiasi altra entità a cui la policy potrebbe essere collegata.
+ Se la policy è una policy in linea integrata, scegliendo **Rimuovi** la policy verrà rimossa da IAM. Le policy inline collegate direttamente a un utente sono presenti solo in tale utente.
Se la policy è stata concessa all'utente tramite l'appartenenza a un gruppo, la console visualizza un messaggio di stato che informa che l'utente IAM è stato rimosso dal gruppo IAM. Se la policy è collegata direttamente o in linea, il messaggio di stato informa che la policy è stata rimossa.
------
## Per rimuovere il limite delle autorizzazioni da un utente (console)
La rimozione del limite delle autorizzazioni aggiorna immediatamente l'accesso dell'utente.
------
#### [ Console ]
1. Segui la procedura di accesso appropriata al tuo tipo di utente, come descritto nell'argomento [Come accedere ad AWS](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html) nella *Guida per l'utente di AWS Sign-In*.
1. Nella **home page della console IAM**, nel pannello di navigazione a sinistra, immetti la query nella casella di testo **Cerca IAM**.
1. Nel pannello di navigazione, seleziona **Utenti**.
1. Nell'elenco **Utenti**, scegli il nome dell'utente IAM di cui si desidera rimuovere il limite delle autorizzazioni.
1. Scegli la scheda **Autorizzazioni**. Se necessario, apri la sezione **Limite delle autorizzazioni**.
1. Selezionare **Change boundary (Modifica limite)**. Nella finestra di dialogo di conferma, scegli **Rimuovi limite** per confermare la rimozione del limite delle autorizzazioni.
La console visualizza un messaggio di stato che informa che il limite delle autorizzazioni è stato rimosso.
------
## Aggiungere e rimuovere le autorizzazioni (AWS CLI o AWS API) di un utente
Per aggiungere o rimuovere le autorizzazioni a livello di codice, è necessario aggiungere o rimuovere i gruppi di appartenenza, collegare o distaccare le appartenenze ai gruppi, collegare o distaccare le policy gestite oppure aggiungere o eliminare le policy inline. Per ulteriori informazioni, consulta i seguenti argomenti:
+ [Modificare gli utenti nei gruppi IAM](id_groups_manage_add-remove-users.md)
+ [Aggiunta e rimozione di autorizzazioni per identità IAM](access_policies_manage-attach-detach.md)
# Password utente in AWS
Puoi gestire le password per gli utenti IAM del tuo account. Gli utenti IAM necessitano di password per accedere a. Console di gestione AWS Gli utenti non hanno bisogno di password per accedere alle AWS risorse in modo programmatico utilizzando Tools for Windows AWS CLI PowerShell, o. AWS SDKs APIs Per questi ambienti, hai la possibilità di assegnare [chiavi di accesso](id_credentials_access-keys.md) agli utenti IAM. Tuttavia, ci sono altre alternative più sicure delle chiavi di accesso che ti consigliamo di prendere in considerazione per prime. Per ulteriori informazioni, consulta [AWS credenziali di sicurezza](security-creds.md).
**Nota**
Se uno dei tuoi utenti IAM perde o dimentica la propria password, *non potrai* recuperarla da IAM. A seconda delle impostazioni, l'utente o l'amministratore devono creare una nuova password.
**Topics**
+ [Configurare una policy delle password di un account per gli utenti IAM](id_credentials_passwords_account-policy.md)
+ [Gestione delle password per gli utenti IAM](id_credentials_passwords_admin-change-user.md)
+ [Consentire agli utenti IAM di cambiare le loro password](id_credentials_passwords_enable-user-change.md)
+ [Come un utente IAM può modificare la propria password](id_credentials_passwords_user-change-own.md)
# Configurare una policy delle password di un account per gli utenti IAM
Puoi impostare una politica di password personalizzata Account AWS per specificare i requisiti di complessità e i periodi di rotazione obbligatori per le password degli utenti IAM. Se non imposti una politica di password personalizzata, le password utente IAM devono soddisfare la politica di password predefinita AWS . Per ulteriori informazioni, consulta [Opzioni di policy delle password personalizzata](#password-policy-details).
**Topics**
+ [Impostazione di una policy delle password](#password-policy-rules)
+ [Autorizzazioni necessarie per impostare una policy delle password](#default-policy-permissions-required)
+ [Policy delle password predefinita](#default-policy-details)
+ [Opzioni di policy delle password personalizzata](#password-policy-details)
+ [Per impostare una policy delle password (console)](#IAMPasswordPolicy)
+ [Per modificare una policy delle password (console)](#id_credentials_passwords_account-policy-section-1)
+ [Eliminazione di una policy delle password personalizzata (console)](#id_credentials_passwords_account-policy-section-2)
+ [Impostazione di una policy sulle password (AWS CLI)](#PasswordPolicy_CLI)
+ [Impostazione di una politica in materia di password (AWS API)](#PasswordPolicy_API)
## Impostazione di una policy delle password
La policy sulle password IAM non si applica alla Utente root dell'account AWS password o alle chiavi di accesso utente IAM. Se una password scade, l'utente IAM non può accedere Console di gestione AWS ma può continuare a utilizzare le proprie chiavi di accesso.
Quando si crea o si modifica una policy sulle password, la maggior parte delle impostazioni sulla policy delle password vengono applicate la prossima volta che gli utenti modificano le password. Tuttavia, alcune delle impostazioni vengono applicate immediatamente. Ad esempio:
+ Quando si impostano i requisiti minimi di lunghezza e del tipo di caratteri, le impostazioni vengono applicate la volta successiva che gli utenti cambiano le password. Gli utenti non sono costretti a modificare le proprie password esistenti, anche se le password esistenti non rispettano i criteri della policy aggiornata sulle password.
+ Quando si imposta un periodo di scadenza della password, il periodo di scadenza viene applicato immediatamente. Ad esempio, un periodo di scadenza della password viene impostato a 90 giorni. In tal caso, la password scade per tutti gli utenti IAM la cui password attuale è più vecchia di 90 giorni. Gli utenti sono tenuti a modificare la propria password all'accesso successivo.
Non è possibile creare una "policy di esclusione" per bloccare un utente fuori dall'account dopo un numero specificato di tentativi di accesso non riusciti. Per una maggiore sicurezza, si consiglia di combinare una policy delle password complessa con l'autenticazione Multi-Factor Authentication (MFA). Per ulteriori informazioni sulla funzionalità MFA, consultare [AWS Autenticazione a più fattori in IAM](id_credentials_mfa.md).
## Autorizzazioni necessarie per impostare una policy delle password
È necessario configurare le autorizzazioni per consentire a un'entità IAM (utente o ruolo) di visualizzare o modificare la policy delle password dell'account. È possibile includere le seguenti operazioni di policy della password in una policy IAM:
+ `iam:GetAccountPasswordPolicy`: consente all'entità di visualizzare la policy delle password per il proprio account
+ `iam:DeleteAccountPasswordPolicy`: consente all'entità di eliminare la policy delle password personalizzata per il proprio account e ripristinare la policy delle password di default
+ `iam:UpdateAccountPasswordPolicy`: consente all'entità di creare o modificare la policy delle password personalizzata per il proprio account
La policy seguente consente l'accesso completo per visualizzare e modificare la policy delle password dell'account. Per ulteriori informazioni su come creare una policy IAM usando il documento di policy JSON di esempio, consulta [Creazione di policy utilizzando l'editor JSON](access_policies_create-console.md#access_policies_create-json-editor).
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "FullAccessPasswordPolicy",
"Effect": "Allow",
"Action": [
"iam:GetAccountPasswordPolicy",
"iam:DeleteAccountPasswordPolicy",
"iam:UpdateAccountPasswordPolicy"
],
"Resource": "*"
}
]
}
```
------
Per informazioni sulle autorizzazioni necessarie per modificare la password da parte di un utente IAM, consulta [Consentire agli utenti IAM di cambiare le loro password](id_credentials_passwords_enable-user-change.md).
## Policy delle password predefinita
Se un amministratore non imposta una politica di password personalizzata, le password degli utenti IAM devono soddisfare la politica di AWS password predefinita.
La policy delle password predefinita applica le seguenti condizioni:
+ Deve avere una lunghezza minima di 8 caratteri e massima di 128 caratteri
+ Deve includere almeno tre dei seguenti tipi di caratteri: lettere maiuscole, lettere minuscole, numeri e caratteri non alfanumerici (`! @ # $ % ^ & * ( ) _ + - = [ ] { } | '`)
+ Non essere identico al tuo Account AWS nome o indirizzo email
+ Password che non scadono mai
## Opzioni di policy delle password personalizzata
Quando si configura una policy delle password personalizzata per l'account, è possibile specificare le seguenti condizioni:
+ **Lunghezza minima della password**: è possibile specificare un minimo di 6 caratteri e un massimo di 128 caratteri.
+ **Complessità della password**: puoi selezionare una delle seguenti caselle di controllo per definire la complessità delle password dell'utente IAM:
+ Richiedi almeno una lettera maiuscola dall'alfabeto latino (A-Z)
+ Richiedi almeno una lettera minuscola dall'alfabeto latino (a-z)
+ Richiedere almeno un numero
+ Richiedere almeno un carattere non alfanumerico `! @ # $ % ^ & * ( ) _ + - = [ ] { } | '`
+ **Turn on password expiration** (Abilita scadenza della password): puoi selezionare e specificare un minimo di 1 e un massimo di 1.095 giorni di validità delle password utente IAM dopo che sono state impostate. Ad esempio, se specifichi una scadenza di 90 giorni, ciò influisce immediatamente su tutti gli utenti. Dopo la modifica, gli utenti con password impostata da oltre 90 giorni dovranno impostarne una nuova quando accedono alla console. Gli utenti con password vecchie di 75-89 giorni ricevono un Console di gestione AWS avviso sulla scadenza della password. Gli utenti IAM possono modificare la password in qualsiasi momento se dispongono dell'autorizzazione. Quando impostano una nuova password, il periodo di scadenza per tale password ricomincia da capo. Un utente IAM può avere solo una password valida alla volta.
+ **La scadenza della password richiede la reimpostazione dell'amministratore**: seleziona questa opzione per impedire agli utenti IAM di utilizzare il Console di gestione AWS per aggiornare le proprie password dopo la scadenza della password. Prima di selezionare questa opzione, verifica che nell' Account AWS sia presente più di un utente con le autorizzazioni amministrative per ripristinare le password degli utenti IAM. Gli amministratori che dispongono dell'autorizzazione `iam:UpdateLoginProfile` possono reimpostare le password degli utenti IAM. Gli utenti IAM che dispongono dell'autorizzazione `iam:ChangePassword` e di chiavi di accesso attive possono reimpostare autonomamente la propria password della console utente IAM a livello di programmazione. Se si deseleziona questa casella di controllo, gli utenti IAM con password scadute devono comunque impostare una nuova password prima di poter accedere alla Console di gestione AWS.
+ **Allow users to change their own password** (Consenti agli utenti di modificare la propria password): puoi consentire a tutti gli utenti IAM nel tuo account di modificare autonomamente le proprie password. Ciò consente agli utenti di accedere all'operazione `iam:ChangePassword` solo per il proprio utente e all'operazione `iam:GetAccountPasswordPolicy`. Questa opzione non associa una policy di autorizzazione a ciascun utente. Piuttosto, IAM applica le autorizzazioni a livello di account per tutti gli utenti. In alternativa, è possibile consentire solo ad alcuni utenti di gestire in autonomia le proprie password. A tale scopo, deseleziona questa casella di controllo. Per ulteriori informazioni sull'utilizzo di policy per limitare chi può gestire le password, consultare [Consentire agli utenti IAM di cambiare le loro password](id_credentials_passwords_enable-user-change.md).
+ **Impedisci il riutilizzo di una password**: puoi impedire che gli utenti IAM riutilizzino un determinato numero di password precedenti. È possibile specificare un numero minimo di 1 e un numero massimo di 24 password precedenti che non possono essere ripetute.
## Per impostare una policy delle password (console)
Puoi utilizzare la Console di gestione AWS per creare, modificare o eliminare una politica di password personalizzata. Le modifiche alla policy delle password si applicano ai nuovi utenti IAM creati dopo questa modifica della policy e agli utenti IAM esistenti quando questi modificano le proprie password.
------
#### [ Console ]
1. Segui la procedura di accesso appropriata al tuo tipo di utente, come descritto nell'argomento [Come accedere ad AWS](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html) nella *Guida per l'utente di AWS Sign-In*.
1. Nella **home page della console IAM**, nel pannello di navigazione a sinistra, immetti la query nella casella di testo **Cerca IAM**.
1. Nel riquadro di navigazione, scegliere **Account settings (Impostazioni account)**.
1. Nella sezione **Password policy** (Policy delle password), scegli **Edit** (Modifica).
1. Scegli **Custom** (Personalizzato) per utilizzare una policy di password personalizzata.
1. Seleziona le opzioni che desideri applicare alla policy delle password e scegli **Salva modifiche**.
1. Conferma che desideri impostare la policy delle password personalizzata scegliendo **Set custom** (Imposta personalizzata).
La console visualizza un messaggio di stato che informa che i requisiti di password per gli utenti IAM sono stati aggiornati.
------
## Per modificare una policy delle password (console)
È possibile utilizzare la Console di gestione AWS per creare, modificare o eliminare una politica personalizzata in materia di password. Le modifiche alla policy delle password si applicano ai nuovi utenti IAM creati dopo questa modifica della policy e agli utenti IAM esistenti quando questi modificano le proprie password.
------
#### [ Console ]
1. Segui la procedura di accesso appropriata al tuo tipo di utente, come descritto nell'argomento [Come accedere ad AWS](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html) nella *Guida per l'utente di AWS Sign-In*.
1. Nella **home page della console IAM**, nel pannello di navigazione a sinistra, immetti la query nella casella di testo **Cerca IAM**.
1. Nel riquadro di navigazione, scegliere **Account settings (Impostazioni account)**.
1. Nella sezione **Password policy** (Policy delle password), scegli **Edit** (Modifica).
1. Seleziona le opzioni che desideri applicare alla policy delle password e scegli **Salva modifiche**.
1. Conferma che desideri impostare la policy delle password personalizzata scegliendo **Set custom** (Imposta personalizzata).
La console visualizza un messaggio di stato che informa che i requisiti di password per gli utenti IAM sono stati aggiornati.
------
## Eliminazione di una policy delle password personalizzata (console)
È possibile utilizzare la Console di gestione AWS per creare, modificare o eliminare una politica personalizzata in materia di password. Le modifiche alla policy delle password si applicano ai nuovi utenti IAM creati dopo questa modifica della policy e agli utenti IAM esistenti quando questi modificano le proprie password.
------
#### [ Console ]
1. Segui la procedura di accesso appropriata al tuo tipo di utente, come descritto nell'argomento [Come accedere ad AWS](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html) nella *Guida per l'utente di AWS Sign-In*.
1. Nella **home page della console IAM**, nel pannello di navigazione a sinistra, immetti la query nella casella di testo **Cerca IAM**.
1. Nel riquadro di navigazione, scegliere **Account settings (Impostazioni account)**.
1. Nella sezione **Password policy** (Policy delle password), scegli **Edit** (Modifica).
1. Scegli **IAM default** (Predefinito IAM) per eliminare la policy di password personalizzata, quindi scegli **Save changes** (Salva modifiche).
1. Conferma che desideri impostare la policy delle password predefinita IAM scegliendo **Set default** (Imposta predefinita).
La console visualizza un messaggio di stato che informa che la policy delle password è impostata sul valore predefinito di IAM.
------
## Impostazione di una policy sulle password (AWS CLI)
È possibile utilizzare il AWS Command Line Interface per impostare una politica in materia di password.
**Per gestire la politica personalizzata in materia di password dell'account dal AWS CLI**
Esegui i comandi seguenti:
+ Per creare o modificare la policy delle password personalizzata: [https://docs.aws.amazon.com/cli/latest/reference/iam/update-account-password-policy.html](https://docs.aws.amazon.com/cli/latest/reference/iam/update-account-password-policy.html)
+ Per visualizzare la policy delle password: [https://docs.aws.amazon.com/cli/latest/reference/iam/get-account-password-policy.html](https://docs.aws.amazon.com/cli/latest/reference/iam/get-account-password-policy.html)
+ Per eliminare la policy delle password personalizzata: [https://docs.aws.amazon.com/cli/latest/reference/iam/delete-account-password-policy.html](https://docs.aws.amazon.com/cli/latest/reference/iam/delete-account-password-policy.html)
## Impostazione di una politica in materia di password (AWS API)
È possibile utilizzare le operazioni AWS API per impostare una politica in materia di password.
**Per gestire la politica personalizzata in materia di password dell'account dall' AWS API**
Chiamare le operazioni seguenti:
+ Per creare o modificare la policy delle password personalizzata: [https://docs.aws.amazon.com/IAM/latest/APIReference/API_UpdateAccountPasswordPolicy.html](https://docs.aws.amazon.com/IAM/latest/APIReference/API_UpdateAccountPasswordPolicy.html)
+ Per visualizzare la policy delle password: [https://docs.aws.amazon.com/IAM/latest/APIReference/API_GetAccountPasswordPolicy.html](https://docs.aws.amazon.com/IAM/latest/APIReference/API_GetAccountPasswordPolicy.html)
+ Per eliminare la policy delle password personalizzata: [https://docs.aws.amazon.com/IAM/latest/APIReference/API_DeleteAccountPasswordPolicy.html](https://docs.aws.amazon.com/IAM/latest/APIReference/API_DeleteAccountPasswordPolicy.html)
# Gestione delle password per gli utenti IAM
Gli utenti IAM che utilizzano il Console di gestione AWS per lavorare con AWS le risorse devono disporre di una password per poter accedere. Puoi creare, modificare o eliminare una password di un utente IAM nel tuo account AWS .
Dopo aver assegnato una password a un utente, l'utente può accedere Console di gestione AWS utilizzando l'URL di accesso per il tuo account, che ha il seguente aspetto:
```
https://12-digit-AWS-account-ID or alias.signin.aws.amazon.com/console
```
Per ulteriori informazioni su come gli utenti IAM accedono a Console di gestione AWS, consulta [Come accedere a AWS nella](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html) *Guida per l'Accedi ad AWS utente*.
Anche se gli utenti hanno le proprie password, hanno ancora bisogno delle autorizzazioni per accedere alle tue risorse AWS . Per impostazione predefinita, un utente non ha autorizzazioni. Per fornire agli utenti le autorizzazioni di cui hanno bisogno, assegna loro le policy o ai gruppi di appartenenza. Per ulteriori informazioni sulla creazione di utenti e gruppi, vedere [Identità IAM](id.md). Per ulteriori informazioni sull'utilizzo di policy per impostare le autorizzazioni, vedere [Modificare le autorizzazioni per un utente IAM](id_users_change-permissions.md).
Puoi concedere le autorizzazioni agli utenti per modificare le loro password. Per ulteriori informazioni, consulta [Consentire agli utenti IAM di cambiare le loro password](id_credentials_passwords_enable-user-change.md). Per informazioni su come gli utenti accedono alla pagina di accesso del tuo account, consulta [Come accedere ad AWS](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html) nella *Guida per l'utente di Accedi ad AWS *.
**Topics**
+ [Creazione, modifica o eliminazione di una password dell'utente IAM (console)](#id_credentials_passwords_admin-change-user_console)
## Creazione, modifica o eliminazione di una password dell'utente IAM (console)
Puoi utilizzare il Console di gestione AWS per gestire le password per i tuoi utenti IAM.
Le esigenze di accesso degli utenti possono cambiare nel tempo. Potrebbe essere necessario consentire a un utente destinato all'accesso CLI di accedere alla console, modificare la password di un utente perché riceve l'e-mail con le proprie credenziali o eliminare un utente quando lascia l'organizzazione o non ha più bisogno dell'accesso. AWS
### Per creare una password per l'utente IAM (console)
Utilizza questa procedura per consentire a un utente di accedere alla console creando una password associata al nome utente.
------
#### [ Console ]
1. Segui la procedura di accesso appropriata al tuo tipo di utente, come descritto nell'argomento [Come accedere ad AWS](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html) nella *Guida per l'utente di AWS Sign-In*.
1. Nella **home page della console IAM**, nel pannello di navigazione a sinistra, immetti la query nella casella di testo **Cerca IAM**.
1. Nel pannello di navigazione, seleziona **Utenti**.
1. Seleziona il nome dell'utente sul quale desideri creare la password.
1. Scegli la scheda **Security credentials** (Credenziali di sicurezza), quindi in **Console sign-in** (Accesso alla console), scegli **Enable console access** (Abilita l'accesso alla console).
1. Nella finestra di dialogo **Consenti accesso alla console**, seleziona **Reimposta password**, quindi scegli se IAM deve generare una password o se deve essere creata una password personalizzata:
+ Per fare in modo che IAM generi una password, scegli **Password autogenerata**
+ Per creare una password personalizzata, scegliere **Custom password (Password personalizzata)** e digitare la password.
**Nota**
La password creata deve essere conforme alla [policy delle password](id_credentials_passwords_account-policy.md) dell'account.
1. Per richiedere all'utente di creare una nuova password all'accesso, scegli **L'utente deve creare una nuova password al prossimo accesso**.
1. Per richiedere all'utente di utilizzare immediatamente la nuova password, seleziona **Revoca sessioni di console attive**. Ciò collega una policy in linea all'utente IAM che nega all'utente l'accesso alle risorse se le sue credenziali sono più vecchie del periodo specificato dalla policy.
1. Scegliere **Reimposta password**
1. La finestra di dialogo **Password della console** ti informa che è stata abilitata la nuova password dell'utente. Per visualizzare la password in modo da poterla condividere con l'utente, scegli **Mostra** nella finestra di dialogo **Password della console**. Seleziona **Scarica il file .csv** per scaricare un file con le credenziali dell'utente.
**Importante**
Per motivi di sicurezza, non è possibile accedere alla password dopo aver completato questa fase, ma è possibile creare una nuova password in qualsiasi momento.
La console visualizza un messaggio di stato che informa che l'accesso alla console è stato abilitato.
------
### Come cambiare la password per un utente IAM (console)
Utilizza questa procedura per aggiornare una password associata al nome utente.
------
#### [ Console ]
1. Segui la procedura di accesso appropriata al tuo tipo di utente, come descritto nell'argomento [Come accedere ad AWS](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html) nella *Guida per l'utente di AWS Sign-In*.
1. Nella **home page della console IAM**, nel pannello di navigazione a sinistra, immetti la query nella casella di testo **Cerca IAM**.
1. Nel pannello di navigazione, seleziona **Utenti**.
1. Seleziona il nome dell'utente di cui desideri modificare la password.
1. Scegli la scheda **Security credentials** (Credenziali di sicurezza), quindi in **Console sign-in** (Accesso alla console), scegli **Manage console access** (Gestisci l'accesso alla console).
1. Nella finestra di dialogo **Gestisci l'accesso alla console**, seleziona **Reimposta password**, quindi scegli se la password deve essere generata da IAM o se deve essere creata una password personalizzata:
+ Per fare in modo che IAM generi una password, scegli **Password autogenerata**
+ Per creare una password personalizzata, scegliere **Custom password (Password personalizzata)** e digitare la password.
**Nota**
La password creata deve essere conforme alla [policy delle password](id_credentials_passwords_account-policy.md) dell'account.
1. Per richiedere all'utente di creare una nuova password all'accesso, scegli **L'utente deve creare una nuova password al prossimo accesso**.
1. Per richiedere all'utente di utilizzare immediatamente la nuova password, seleziona **Revoca sessioni di console attive**. Ciò collega una policy in linea all'utente IAM che nega all'utente l'accesso alle risorse se le sue credenziali sono più vecchie del periodo specificato dalla policy.
1. Scegliere **Reimposta password**
1. La finestra di dialogo **Password della console** ti informa che è stata abilitata la nuova password dell'utente. Per visualizzare la password in modo da poterla condividere con l'utente, scegli **Mostra** nella finestra di dialogo **Password della console**. Seleziona **Scarica il file .csv** per scaricare un file con le credenziali dell'utente.
**Importante**
Per motivi di sicurezza, non è possibile accedere alla password dopo aver completato questa fase, ma è possibile creare una nuova password in qualsiasi momento.
La console visualizza un messaggio di stato che informa che l'accesso alla console è stato aggiornato.
------
### Come eliminare (disabilitare) una password dell'utente IAM (console)
Utilizza questa procedura per eliminare una password associata al nome utente rimuovendo l'accesso alla console per l'utente.
**Importante**
Puoi impedire a un utente IAM di accedere a Console di gestione AWS rimuovendo la sua password. Ciò impedisce loro di accedere Console di gestione AWS utilizzando le proprie credenziali di accesso. Non modifica le autorizzazioni né impedisce l'accesso alla console utilizzando un ruolo assunto. Se l'utente dispone di chiavi di accesso attive, queste continuano a funzionare e consentono l' AWS CLI accesso tramite Tools for Windows PowerShell, AWS API o AWS Console Mobile Application.
------
#### [ Console ]
1. Segui la procedura di accesso appropriata al tuo tipo di utente, come descritto nell'argomento [Come accedere ad AWS](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html) nella *Guida per l'utente di AWS Sign-In*.
1. Nella **home page della console IAM**, nel pannello di navigazione a sinistra, immetti la query nella casella di testo **Cerca IAM**.
1. Nel pannello di navigazione, seleziona **Utenti**.
1. Seleziona il nome dell'utente di cui desideri eliminare la password.
1. Scegli la scheda **Security credentials** (Credenziali di sicurezza), quindi in **Console sign-in** (Accesso alla console), scegli **Manage console access** (Gestisci l'accesso alla console).
1. Per richiedere all'utente di interrompere immediatamente l'uso della console, seleziona **Revoca sessioni di console attive**. Ciò collega una policy in linea all'utente IAM che nega all'utente l'accesso alle risorse se le sue credenziali sono più vecchie del periodo specificato dalla policy.
1. Scegli **Disabilita accesso**
La console visualizza un messaggio di stato che informa che l'accesso alla console è stato disabilitato.
------
### Creazione, modifica o eliminazione di una password utente IAM (AWS CLI)
Puoi utilizzare l' AWS CLI API per gestire le password per i tuoi utenti IAM.
**Per creare una password (AWS CLI)**
1. (Facoltativo) Per determinare se un utente dispone di una password, esegui questo comando: [aws iam get-login-profile](https://docs.aws.amazon.com/cli/latest/reference/iam/get-login-profile.html)
1. Per creare una password, esegui questo comando: [aws iam create-login-profile](https://docs.aws.amazon.com/cli/latest/reference/iam/create-login-profile.html)
**Per modificare la password di un utente (AWS CLI)**
1. (Facoltativo) Per determinare se un utente dispone di una password, esegui questo comando: [aws iam get-login-profile](https://docs.aws.amazon.com/cli/latest/reference/iam/get-login-profile.html)
1. Per modificare una password, esegui questo comando: [aws iam update-login-profile](https://docs.aws.amazon.com/cli/latest/reference/iam/update-login-profile.html)
**Per eliminare (disabilitare) una password utente (AWS CLI)**
1. (Facoltativo) Per determinare se un utente dispone di una password, esegui questo comando: [aws iam get-login-profile](https://docs.aws.amazon.com/cli/latest/reference/iam/get-login-profile.html)
1. (Facoltativo) Per determinare quando una password è stata utilizzata per l'ultima volta, eseguire questo comando: [aws iam get-user](https://docs.aws.amazon.com/cli/latest/reference/iam/get-user.html)
1. Per eliminare una password, esegui questo comando: [aws iam delete-login-profile](https://docs.aws.amazon.com/cli/latest/reference/iam/delete-login-profile.html)
**Importante**
Quando elimini una password dell'utente, l'utente non può più accedere alla Console di gestione AWS. Se l'utente dispone di chiavi di accesso attive, queste continuano a funzionare e consentono l'accesso tramite AWS CLI le chiamate di funzione Tools for Windows PowerShell o AWS API. Quando utilizzi Tools for Windows o PowerShell l' AWS CLI AWS API per eliminare un utente dal tuo Account AWS, devi prima eliminare la password utilizzando questa operazione. Per ulteriori informazioni, consulta [Eliminazione di un utente IAM (AWS CLI)](id_users_remove.md#id_users_deleting_cli).
**Per revocare le sessioni di console attive di un utente prima di un orario specificato (AWS CLI)**
1. [Per incorporare una policy in linea che revochi le sessioni di console attive di un utente IAM prima di un orario specificato, utilizza la seguente policy in linea ed esegui questo comando: aws iam put-user-policy](https://docs.aws.amazon.com/cli/latest/reference/iam/put-user-policy.html)
Questa policy in linea nega tutte le autorizzazioni e include la chiave di condizione `aws:TokenIssueTime`. Revoca le sessioni di console attive dell'utente prima del tempo specificato nell'elemento `Condition` della policy in linea. Sostituire il valore della chiave di condizione `aws:TokenIssueTime` con il proprio valore.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": {
"Effect": "Deny",
"Action": "*",
"Resource": "*",
"Condition": {
"DateLessThan": {
"aws:TokenIssueTime": "2014-05-07T23:47:00Z"
}
}
}
}
```
------
1. [(Facoltativo) Per elencare i nomi delle politiche in linea incorporate nell'utente IAM, esegui questo comando: aws iam list-user-policies](https://docs.aws.amazon.com/cli/latest/reference/iam/list-user-policies.html)
1. [(Facoltativo) Per visualizzare la policy in linea denominata incorporata nell'utente IAM, esegui questo comando: aws iam get-user-policy](https://docs.aws.amazon.com/cli/latest/reference/iam/get-user-policy.html)
### Creazione, modifica o eliminazione di una password utente IAM (API)AWS
Puoi utilizzare l' AWS API per gestire le password per i tuoi utenti IAM.
**Per creare una password (AWS API)**
1. (Facoltativo) Per determinare se un utente dispone di una password, richiamate questa operazione: [GetLoginProfile](https://docs.aws.amazon.com/IAM/latest/APIReference/API_GetLoginProfile.html)
1. Per creare una password, richiamate questa operazione: [CreateLoginProfile](https://docs.aws.amazon.com/IAM/latest/APIReference/API_CreateLoginProfile.html)
**Per modificare la password di un utente (AWS API)**
1. (Facoltativo) Per determinare se un utente dispone di una password, richiamate questa operazione: [GetLoginProfile](https://docs.aws.amazon.com/IAM/latest/APIReference/API_GetLoginProfile.html)
1. Per modificare una password, chiamate questa operazione: [UpdateLoginProfile](https://docs.aws.amazon.com/IAM/latest/APIReference/API_UpdateLoginProfile.html)
**Per eliminare (disabilitare) la password di un utente (AWS API)**
1. (Facoltativo) Per determinare se un utente dispone di una password, esegui questo comando: [GetLoginProfile](https://docs.aws.amazon.com/IAM/latest/APIReference/API_GetLoginProfile.html)
1. (Facoltativo) Per determinare quando è stata utilizzata l'ultima volta una password, esegui questo comando: [GetUser](https://docs.aws.amazon.com/IAM/latest/APIReference/API_GetUser.html)
1. Per eliminare una password, esegui questo comando: [DeleteLoginProfile](https://docs.aws.amazon.com/IAM/latest/APIReference/API_DeleteLoginProfile.html)
**Importante**
Quando elimini una password dell'utente, l'utente non può più accedere alla Console di gestione AWS. Se l'utente dispone di chiavi di accesso attive, queste continuano a funzionare e consentono l'accesso tramite AWS CLI le chiamate di funzione Tools for Windows PowerShell o AWS API. Quando utilizzi Tools for Windows o PowerShell l' AWS CLI AWS API per eliminare un utente dal tuo Account AWS, devi prima eliminare la password utilizzando questa operazione. Per ulteriori informazioni, consulta [Eliminazione di un utente IAM (AWS CLI)](id_users_remove.md#id_users_deleting_cli).
**Per revocare le sessioni di console attive di un utente prima di un orario specificato (API)AWS**
1. Per incorporare una policy in linea che revochi le sessioni di console attive di un utente IAM prima di un orario specificato, utilizza la seguente policy in linea ed esegui questo comando: [PutUserPolicy](https://docs.aws.amazon.com/IAM/latest/APIReference/API_PutUserPolicy.html)
Questa policy in linea nega tutte le autorizzazioni e include la chiave di condizione `aws:TokenIssueTime`. Revoca le sessioni di console attive dell'utente prima del tempo specificato nell'elemento `Condition` della policy in linea. Sostituire il valore della chiave di condizione `aws:TokenIssueTime` con il proprio valore.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": {
"Effect": "Deny",
"Action": "*",
"Resource": "*",
"Condition": {
"DateLessThan": {
"aws:TokenIssueTime": "2014-05-07T23:47:00Z"
}
}
}
}
```
------
1. (Facoltativo) Per elencare i nomi delle politiche in linea incorporate nell'utente IAM, esegui questo comando: [ListUserPolicies](https://docs.aws.amazon.com/IAM/latest/APIReference/API_ListUserPolicies.html)
1. (Facoltativo) Per visualizzare la policy in linea denominata incorporata nell'utente IAM, esegui questo comando: [GetUserPolicy](https://docs.aws.amazon.com/IAM/latest/APIReference/API_GetUserPolicy.html)
# Consentire agli utenti IAM di cambiare le loro password
**Nota**
Per modificare le password, gli utenti con identità federate utilizzeranno il processo definito dal proprio gestore di identità. Come [procedura ottimale](best-practices.md), richiedi agli utenti umani di utilizzare la federazione con un provider di identità per accedere AWS utilizzando credenziali temporanee.
Puoi concedere agli utenti IAM l'autorizzazione per modificare le password di accesso alla Console di gestione AWS. Ci sono due modi per farlo:
+ [Consenti a tutti gli utenti IAM nell'account di cambiare le loro password](#proc_letalluserschangepassword).
+ [Consentire solo agli utenti IAM selezionati di cambiare le loro password](#proc_letselectuserschangepassword). In questo scenario, è possibile disattivare l'opzione di modifica della password per tutti gli utenti e utilizzare una policy IAM per concedere autorizzazioni solo ad alcuni utenti. Questo approccio consente a questi utenti di modificare le proprie password e, facoltativamente, altre credenziali, come le proprie chiavi di accesso.
**Importante**
Consigliamo di [impostare una policy delle password personalizzata](id_credentials_passwords_account-policy.md) che richieda agli utenti IAM di creare password complesse.
## Per consentire a tutti gli utenti IAM di cambiare le loro password
------
#### [ Console ]
1. Accedi Console di gestione AWS e apri la console IAM all'indirizzo [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/).
1. Nel riquadro di navigazione, fai clic su **Impostazioni account**.
1. Nella sezione **Password policy** (Policy delle password), scegli **Edit** (Modifica).
1. Scegli **Custom** (Personalizzato) per utilizzare una policy di password personalizzata.
1. Seleziona **Allow users to change their own password** (Consenti agli utenti di modificare la propria password), quindi scegli **Save changes (Salva modifiche**). Ciò consente a tutti gli utenti nell'account di accedere `iam:ChangePassword` all'operazione solo per il proprio utente e all'operazione `iam:GetAccountPasswordPolicy`.
1. Fornisci agli utenti le seguenti istruzioni per modificare le password: [Come un utente IAM può modificare la propria password](id_credentials_passwords_user-change-own.md).
------
#### [ AWS CLI ]
Esegui il comando seguente:
+ `[aws iam update-account-password-policy](https://docs.aws.amazon.com/cli/latest/reference/iam/update-account-password-policy.html)`
------
#### [ API ]
Per creare un alias per l'URL della pagina di accesso della Console di gestione AWS , chiama l'operazione seguente:
+ `[UpdateAccountPasswordPolicy](https://docs.aws.amazon.com/IAM/latest/APIReference/API_UpdateAccountPasswordPolicy.html)`
------
## Per consentire a utenti IAM selezionati di cambiare le loro password.
------
#### [ Console ]
1. Accedi Console di gestione AWS e apri la console IAM all'indirizzo [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/).
1. Nel riquadro di navigazione, fai clic su **Impostazioni account**.
1. Nella sezione **Impostazioni account**, assicurati che l'opzione **Consenti a tutti gli utenti di cambiare la propria password** non sia selezionata. Se questa casella di controllo è selezionata, tutti gli utenti possono modificare le proprie password. (Consulta la procedura precedente.)
1. Crea gli utenti che dovrebbero essere autorizzati a modificare la propria password, se non esistono ancora. Per informazioni dettagliate, vedi [Crea un utente IAM nel tuo Account AWS](id_users_create.md).
1. (Facoltativo) Crea un gruppo IAM per gli utenti che possono modificare le loro password e aggiungi gli utenti dalla fase precedente a tale gruppo. Per informazioni dettagliate, vedi [Gruppi di utenti IAM](id_groups.md).
1. Assegnare la policy seguente al gruppo. Per ulteriori informazioni, consulta [Gestire le policy IAM](access_policies_manage.md).
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "iam:GetAccountPasswordPolicy",
"Resource": "*"
},
{
"Effect": "Allow",
"Action": "iam:ChangePassword",
"Resource": "arn:aws:iam::*:user/${aws:username}"
}
]
}
```
------
Questa policy concede l'accesso all'[ChangePassword](https://docs.aws.amazon.com/IAM/latest/APIReference/API_ChangePassword.html)azione, che consente agli utenti di modificare solo le proprie password dalla console AWS CLI, dagli Strumenti per Windows PowerShell o dall'API. Concede inoltre l'accesso all'[GetAccountPasswordPolicy](https://docs.aws.amazon.com/IAM/latest/APIReference/API_GetAccountPasswordPolicy.html)azione, che consente all'utente di visualizzare la politica corrente in materia di password; questa autorizzazione è necessaria per consentire all'utente di visualizzare la politica sulla password dell'account nella pagina **Modifica** password. L'utente deve essere autorizzato a leggere la policy delle password corrente per assicurare che la password modificata soddisfi i requisiti della policy.
1. Fornisci agli utenti le seguenti istruzioni per modificare le password: [Come un utente IAM può modificare la propria password](id_credentials_passwords_user-change-own.md).
------
### Ulteriori informazioni
Per ulteriori informazioni sulla gestione delle credenziali, consultare i seguenti argomenti:
+ [Consentire agli utenti IAM di cambiare le loro password](#id_credentials_passwords_enable-user-change)
+ [Password utente in AWS](id_credentials_passwords.md)
+ [Configurare una policy delle password di un account per gli utenti IAM](id_credentials_passwords_account-policy.md)
+ [Gestire le policy IAM](access_policies_manage.md)
+ [Come un utente IAM può modificare la propria password](id_credentials_passwords_user-change-own.md)
# Come un utente IAM può modificare la propria password
Se ti è stata concessa l'autorizzazione a modificare la tua password utente IAM, puoi utilizzare una pagina speciale Console di gestione AWS per farlo. Puoi anche usare l' AWS API AWS CLI or.
**Topics**
+ [Autorizzazioni richieste](#change-own-passwords-permissions-required)
+ [Come gli utenti IAM possono cambiare le proprie password (console)](#ManagingUserPwdSelf-Console)
+ [In che modo gli utenti IAM modificano la propria password (AWS CLI o AWS API)](#ManagingUserPwdSelf-CLIAPI)
## Autorizzazioni richieste
Per modificare la password del proprio utente IAM, è necessario disporre delle autorizzazioni dalla policy seguente: [AWS: consente agli utenti IAM di modificare la password della console sulla pagina Credenziali di sicurezza](reference_policies_examples_aws_my-sec-creds-self-manage-password-only.md).
## Come gli utenti IAM possono cambiare le proprie password (console)
La procedura seguente descrive come gli utenti IAM possono utilizzare il Console di gestione AWS per modificare la propria password.
**Come cambiare la propria password utente IAM (console)**
1. Utilizza l' AWS ID o l'alias dell'account, il nome utente IAM e la password per accedere alla [console IAM](https://console.aws.amazon.com/iam).
**Nota**
Per comodità, la pagina di AWS accesso utilizza un cookie del browser per ricordare il nome utente IAM e le informazioni sull'account. Se in precedenza è stato eseguito l'accesso con un utente diverso, scegli il link **Accedi a un account differente** nella parte inferiore della pagina per ritornare alla pagina principale di accesso. Da lì, puoi digitare l'ID o l'alias dell'account per essere reindirizzato alla pagina di accesso utente IAM relativa al tuo AWS account.
Per ottenere il tuo Account AWS ID, contatta l'amministratore.
1. Seleziona il nome utente in alto a destra nella barra di navigazione e scegli **Security credentials** (Credenziali di sicurezza).
![\[AWS Link alle credenziali di sicurezza della console di gestione\]](http://docs.aws.amazon.com/it_it/IAM/latest/UserGuide/images/security-credentials-user.shared.console.png)
1. Nella scheda **Credenziali AWS IAM**, seleziona **Aggiorna password**.
1. In **Current password (Password corrente)** digitare la password attuale. Digitare una nuova password per **New password (Nuova password)** e **Confirm new password (Conferma nuova password)**. Quindi sceglie **Aggiorna password**.
**Nota**
La nuova password deve soddisfare i requisiti della nuova policy delle password per l'account. Per ulteriori informazioni, consulta [Configurare una policy delle password di un account per gli utenti IAM](id_credentials_passwords_account-policy.md).
## In che modo gli utenti IAM modificano la propria password (AWS CLI o AWS API)
La procedura seguente descrive come gli utenti IAM possono utilizzare l' AWS API AWS CLI or per modificare la propria password.
**Per modificare la propria password IAM, utilizza i seguenti comandi:**
+ AWS CLI: [https://docs.aws.amazon.com/cli/latest/reference/iam/change-password.html](https://docs.aws.amazon.com/cli/latest/reference/iam/change-password.html)
+ AWS API: [https://docs.aws.amazon.com/IAM/latest/APIReference/API_ChangePassword.html](https://docs.aws.amazon.com/IAM/latest/APIReference/API_ChangePassword.html)
# Gestione delle chiavi di accesso per gli utenti IAM
**Importante**
Come [best practice](best-practices.md), utilizza credenziali di sicurezza temporanee (come i ruoli IAM) invece di creare credenziali a lungo termine come le chiavi di accesso. Prima di creare le chiavi di accesso, esamina le [alternative alle chiavi di accesso a lungo termine](security-creds-programmatic-access.md#security-creds-alternatives-to-long-term-access-keys).
Le chiavi di accesso sono credenziali a lungo termine per un utente IAM o l' Utente root dell'account AWS. Puoi utilizzare le chiavi di accesso per firmare le richieste programmatiche all' AWS API AWS CLI o (direttamente o utilizzando l' AWS SDK). Per ulteriori informazioni, consulta [Accesso programmatico con AWS credenziali di sicurezza](security-creds-programmatic-access.md).
Le chiavi di accesso sono composte da due parti: un ID chiave di accesso (ad esempio `AKIAIOSFODNN7EXAMPLE`) e una chiave di accesso segreta (ad esempio, `wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY`). È necessario utilizzare sia l'ID chiave di accesso sia la chiave di accesso segreta insieme per autenticare le richieste dell'utente.
Se crei una coppia di chiavi di accesso, salva l'ID chiave di accesso e la chiave di accesso segreta in una posizione sicura. La chiave di accesso segreta può essere recuperata solo al momento della creazione. Se perdi la chiave di accesso segreta, è necessario eliminarla e crearne una nuova. Per ulteriori istruzioni, consulta [Aggiornare le chiavi di accesso](id-credentials-access-keys-update.md).
È possibile avere al massimo due chiavi di accesso per utente.
**Importante**
Gli utenti IAM con chiavi di accesso rappresentano un rischio per la sicurezza dell’account. Gestisci le chiavi di accesso in modo sicuro. Non fornire le chiavi di accesso a parti non autorizzate, neppure per contribuire a [trovare gli identificatori di account](https://docs.aws.amazon.com/general/latest/gr/acct-identifiers.html). In questo modo, potresti concedere a qualcuno l'accesso permanente al tuo account.
Quando utilizzi le chiavi di accesso, tieni presente quanto segue:
**NON** utilizzare le credenziali root dell’account per creare chiavi di accesso.
**NON** inserire chiavi di accesso o informazioni sulle credenziali nei file dell’applicazione.
**NON** includere file che contengono chiavi di accesso o informazioni sulle credenziali nell’area del progetto.
Le chiavi di accesso o le informazioni sulle credenziali archiviate nel file delle AWS credenziali condivise vengono archiviate in testo non crittografato.
## Consigli sul monitoraggio
Dopo aver creato le chiavi di accesso:
+ Utilizzatelo AWS CloudTrail per monitorare l'utilizzo delle chiavi di accesso e rilevare eventuali tentativi di accesso non autorizzati. Per ulteriori informazioni, consulta [Registrazione delle chiamate IAM e AWS STS API con AWS CloudTrail](cloudtrail-integration.md).
+ Imposta CloudWatch allarmi per notificare agli amministratori i tentativi di accesso negato per aiutare a rilevare attività dannose. Per ulteriori informazioni, consulta la [Amazon CloudWatch User Guide](https://docs.aws.amazon.com/AmazonCloudWatch/latest/monitoring/).
+ Rivedi, aggiorna ed elimina regolarmente le chiavi di accesso secondo necessità.
I seguenti argomenti descrivono in dettaglio le attività di gestione associate alle chiavi di accesso.
**Topics**
+ [Consigli sul monitoraggio](#monitor-access-keys)
+ [Controllo dell’uso delle chiavi di accesso collegando una policy inline a un utente IAM](access-keys_inline-policy.md)
+ [Autorizzazioni necessarie per gestire le chiavi di accesso](access-keys_required-permissions.md)
+ [Come gli utenti IAM possono gestire le proprie chiavi di accesso](access-key-self-managed.md)
+ [In che modo un amministratore IAM può gestire le chiavi di accesso dell'utente IAM](access-keys-admin-managed.md)
+ [Aggiornare le chiavi di accesso](id-credentials-access-keys-update.md)
+ [Proteggere le chiavi di accesso](securing_access-keys.md)
# Controllo dell’uso delle chiavi di accesso collegando una policy inline a un utente IAM
Come best practice, consigliamo di [far utilizzare ai carichi di lavoro credenziali temporanee con ruoli IAM](best-practices.md#bp-workloads-use-roles) per l’accesso ad AWS. Agli utenti IAM con chiavi di accesso deve essere assegnato l’accesso con privilegio minimo e deve essere abilitata l’[autenticazione a più fattori (MFA)](id_credentials_mfa.md). Per ulteriori informazioni sull’assunzione dei ruoli IAM, consulta [Metodi per assumere un ruolo](id_roles_manage-assume.md).
Tuttavia, se stai creando un test proof of concept di un’automazione di servizio o un altro caso d’uso a breve termine e scegli di eseguire carichi di lavoro utilizzando un utente IAM con chiavi di accesso, ti consigliamo di [utilizzare le condizioni di policy per limitare ulteriormente l’accesso](best-practices.md#use-policy-conditions) alle sue credenziali utente IAM.
In questa situazione puoi creare una policy a tempo limitato che faccia scadere le credenziali dopo il tempo specificato oppure, se stai eseguendo un carico di lavoro da una rete sicura, puoi utilizzare una policy di limitazione dell’IP.
Per entrambi questi casi d’uso, puoi utilizzare una policy inline collegata all’utente IAM che dispone delle chiavi di accesso.
**Per configurare una policy a tempo limitato per un’utente IAM**
1. Accedi Console di gestione AWS e apri la console IAM all'indirizzo [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/).
1. Nel pannello di navigazione, scegli **Utenti**, quindi seleziona l’utente per il caso d’uso a breve termine. Se non hai ancora creato l’utente, puoi [crearlo](getting-started-workloads.md) ora.
1. Nella pagina **Dettagli**, scegli la scheda **Autorizzazioni**.
1. Scegli **Aggiungi autorizzazioni**, quindi scegli **Crea policy inline**.
1. Nella sezione **Editor di policy**, seleziona **JSON** per visualizzare l’editor JSON.
1. Nell’editor JSON, immetti la seguente policy, sostituendo il valore del timestamp `aws:CurrentTime` con la data e l’ora di scadenza desiderate:
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Deny",
"Action": "*",
"Resource": "*",
"Condition": {
"DateGreaterThan": {
"aws:CurrentTime": "2025-03-01T00:12:00Z"
}
}
}
]
}
```
------
Questa policy utilizza l’effetto `Deny` per limitare tutte le operazioni su tutte le risorse dopo la data specificata. La condizione `DateGreaterThan` confronta l’ora corrente con il timestamp impostato.
1. Seleziona **Next** (Successivo) per passare alla pagina **Review and create** (Rivedi e crea). Nei dettagli della **Policy**, in **Nome della policy** inserisci un nome per la policy, quindi scegli **Crea policy**.
Una volta creata, la policy viene visualizzata nella scheda **Autorizzazioni** per l’utente. Quando l'ora corrente è maggiore o uguale all'ora specificata nella policy, l'utente non avrà più accesso alle AWS risorse. Assicurati di informare gli sviluppatori dei carichi di lavoro della data di scadenza specificata per queste chiavi di accesso.
**Per configurare una policy di limitazione dell’IP per un utente IAM**
1. Accedi Console di gestione AWS e apri la console IAM all'indirizzo [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/).
1. Nel pannello di navigazione, scegli **Utenti**, quindi seleziona l’utente che eseguirà il carico di lavoro dalla rete sicura. Se non hai ancora creato l’utente, puoi [crearlo](getting-started-workloads.md) ora.
1. Nella pagina **Dettagli**, scegli la scheda **Autorizzazioni**.
1. Scegli **Aggiungi autorizzazioni**, quindi scegli **Crea policy inline**.
1. Nella sezione **Editor di policy**, seleziona **JSON** per visualizzare l’editor JSON.
1. Copia la seguente policy IAM nell'editor JSON e modifica il pubblico, IPv6 gli indirizzi IPv4 o gli intervalli in base alle tue esigenze. Puoi usare [https://checkip.amazonaws.com/](https://checkip.amazonaws.com/)per determinare il tuo attuale indirizzo IP pubblico. Puoi specificare singoli indirizzi IP o intervalli di indirizzi IP utilizzando la notazione slash. Per ulteriori informazioni, consulta [aws:SourceIp](reference_policies_condition-keys.md#condition-keys-sourceip).
**Nota**
Gli indirizzi IP non devono essere offuscati da una VPN o da un server proxy.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid":"IpRestrictionIAMPolicyForIAMUser",
"Effect": "Deny",
"Action": "*",
"Resource": "*",
"Condition": {
"NotIpAddress": {
"aws:SourceIp": [
"203.0.113.0/24",
"2001:DB8:1234:5678::/64",
"203.0.114.1"
]
},
"BoolIfExists": {
"aws:ViaAWSService": "false"
}
}
}
]
}
```
------
Questo esempio di policy nega l'uso delle chiavi di accesso di un utente IAM con questa policy applicata, a meno che la richiesta non provenga dalle reti (specificate nella notazione CIDR) «203.0.113.0/24», «2001:: 1234:5678DB8: :/64» o dall'indirizzo IP specifico «203.0.114.1»
1. Seleziona **Next** (Successivo) per passare alla pagina **Review and create** (Rivedi e crea). Nei dettagli della **Policy**, in **Nome della policy** inserisci un nome per la policy, quindi scegli **Crea policy**.
Una volta creata, la policy viene visualizzata nella scheda **Autorizzazioni** per l’utente.
Puoi anche applicare questa politica come policy di controllo del servizio (SCP) su più AWS account in AWS Organizations, ti consigliamo di utilizzare una condizione aggiuntiva, `aws:PrincipalArn` per fare in modo che questa dichiarazione di politica si applichi solo agli utenti IAM all'interno degli AWS account soggetti a questo SCP. La seguente policy include tale aggiornamento:
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "IpRestrictionServiceControlPolicyForIAMUsers",
"Effect": "Deny",
"Action": "*",
"Resource": "*",
"Condition": {
"NotIpAddress": {
"aws:SourceIp": [
"203.0.113.0/24",
"2001:DB8:1234:5678::/64",
"203.0.114.1"
]
},
"BoolIfExists": {
"aws:ViaAWSService": "false"
},
"ArnLike": {
"aws:PrincipalArn": "arn:aws:iam::*:user/*"
}
}
}
]
}
```
------
# Autorizzazioni necessarie per gestire le chiavi di accesso
**Nota**
`iam:TagUser` è un'autorizzazione facoltativa per l'aggiunta e la modifica di descrizioni della chiave di accesso. Per ulteriori informazioni, consulta [Aggiungere tag agli utenti IAM](id_tags_users.md)
Per creare le chiavi di accesso per l'utente IAM, è necessario disporre delle autorizzazioni dalla policy seguente:
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "CreateOwnAccessKeys",
"Effect": "Allow",
"Action": [
"iam:CreateAccessKey",
"iam:GetUser",
"iam:ListAccessKeys",
"iam:TagUser"
],
"Resource": "arn:aws:iam::*:user/${aws:username}"
}
]
}
```
------
Per aggiornare le chiavi di accesso per l'utente IAM, è necessario disporre delle autorizzazioni concesse dalla policy seguente:
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "ManageOwnAccessKeys",
"Effect": "Allow",
"Action": [
"iam:CreateAccessKey",
"iam:DeleteAccessKey",
"iam:GetAccessKeyLastUsed",
"iam:GetUser",
"iam:ListAccessKeys",
"iam:UpdateAccessKey",
"iam:TagUser"
],
"Resource": "arn:aws:iam::*:user/${aws:username}"
}
]
}
```
------
# Come gli utenti IAM possono gestire le proprie chiavi di accesso
Gli amministratori IAM possono concedere agli utenti IAM l'autorizzazione per gestire autonomamente le proprie chiavi di accesso collegando la policy descritta in [Autorizzazioni necessarie per gestire le chiavi di accesso](access-keys_required-permissions.md).
Con queste autorizzazioni, l'utente IAM può utilizzare le seguenti procedure per creare, attivare, disattivare ed eliminare le chiavi di accesso associate al proprio nome utente.
**Topics**
+ [Creare una chiave di accesso per se stessi (console)](#Using_CreateAccessKey)
+ [Disattivare la tua chiave di accesso (console)](#deactivate-access-key-seccreds)
+ [Attivare la tua chiave di accesso (console)](#activate-access-key-seccreds)
+ [Eliminare la tua chiave di accesso (console)](#delete-access-key-seccreds)
## Creare una chiave di accesso per se stessi (console)
Se ti sono state concesse le autorizzazioni appropriate, puoi utilizzarle Console di gestione AWS per creare le tue chiavi di accesso.
**Per creare le proprie chiavi di accesso (console)**
1. Utilizza l' AWS ID o l'alias dell'account, il nome utente IAM e la password per accedere alla console [IAM](https://console.aws.amazon.com/iam).
**Nota**
Per comodità, la pagina di AWS accesso utilizza un cookie del browser per ricordare il nome utente IAM e le informazioni sull'account. Se in precedenza è stato eseguito l'accesso con un utente diverso, scegli il link **Accedi a un account differente** nella parte inferiore della pagina per ritornare alla pagina principale di accesso. Da lì, puoi digitare l'ID o l'alias dell'account per essere reindirizzato alla pagina di accesso utente IAM relativa al tuo AWS account.
Per ottenere il tuo Account AWS ID, contatta l'amministratore.
1. Seleziona il nome utente in alto a destra nella barra di navigazione e scegli **Security credentials** (Credenziali di sicurezza).
![\[AWS Link alle credenziali di sicurezza della console di gestione\]](http://docs.aws.amazon.com/it_it/IAM/latest/UserGuide/images/security-credentials-user.shared.console.png)
1. Nella sezione **Chiavi di accesso**, scegliere **Crea chiave di accesso**. Se dispone già di due chiavi di accesso, questo pulsante è disattivato e sarà necessario eliminare una chiave di accesso prima di crearne una nuova.
1. Sulla pagina **Access key best practices & alternatives** (Best practice e alternative per le chiavi di accesso), scegli il tuo caso d'uso per scoprire altre opzioni che possono aiutarti a evitare di creare una chiave di accesso a lungo termine. Se ritieni che il tuo caso d'uso richieda comunque una chiave di accesso, scegli **Other** (Altro) e poi **Next** (Successivo).
1. (Facoltativo) Imposta un valore del tag descrittivo per la chiave di accesso. Questo aggiunge una coppia chiave-valore di tag all'utente IAM. Ciò consente di identificare e aggiornare le chiavi di accesso in un secondo momento. La chiave di tag è impostata sull'ID della chiave di accesso. Il valore del tag è impostato sulla descrizione della chiave di accesso specificata. Al termine, scegli **Create access key** (Crea chiave di accesso).
1. Nella pagina **Retrieve access keys** (Recupera chiavi di accesso), scegli **Show** (Mostra) per rivelare il valore della chiave di accesso segreta dell'utente o **Download .csv file** (Scarica il file .csv). Questa è la tua unica opportunità di salvare la chiave di accesso segreta. Dopo aver salvato la chiave di accesso segreta in una posizione sicura, scegli **Done** (Fatto).
## Disattivare la tua chiave di accesso (console)
Se ti sono state concesse le autorizzazioni appropriate, puoi utilizzarle Console di gestione AWS per disattivare la tua chiave di accesso.
**Disattivazione di una chiave di accesso**
1. [Utilizza l'ID o l'alias dell'account, il nome utente IAM e la password per accedere alla console IAM. AWS](https://console.aws.amazon.com/iam)
**Nota**
Per comodità, la pagina di AWS accesso utilizza un cookie del browser per ricordare il nome utente IAM e le informazioni sull'account. Se in precedenza è stato eseguito l'accesso con un utente diverso, scegli il link **Accedi a un account differente** nella parte inferiore della pagina per ritornare alla pagina principale di accesso. Da lì, puoi digitare l'ID o l'alias dell'account per essere reindirizzato alla pagina di accesso utente IAM relativa al tuo AWS account.
Per ottenere il tuo Account AWS ID, contatta l'amministratore.
1. Seleziona il nome utente in alto a destra nella barra di navigazione e scegli **Security credentials** (Credenziali di sicurezza).
![\[AWS Link alle credenziali di sicurezza della console di gestione\]](http://docs.aws.amazon.com/it_it/IAM/latest/UserGuide/images/security-credentials-user.shared.console.png)
1. Nella sezione **Access keys** (Chiavi di accesso) individua la chiave che desideri disattivare, quindi scegli **Actions** (Operazioni) e poi **Deactivate** (Disattiva). Quando viene richiesta la conferma, scegliere **Disattiva**. Una chiave di accesso disattivata viene comunque conteggiata per il limite di due chiavi di accesso.
## Attivare la tua chiave di accesso (console)
Se ti sono state concesse le autorizzazioni appropriate, puoi utilizzarle Console di gestione AWS per attivare la tua chiave di accesso.
**Attivazione di una chiave di accesso**
1. Utilizza l' AWS ID o l'alias dell'account, il nome utente IAM e la password per accedere alla console [IAM](https://console.aws.amazon.com/iam).
**Nota**
Per comodità, la pagina di AWS accesso utilizza un cookie del browser per ricordare il nome utente IAM e le informazioni sull'account. Se in precedenza è stato eseguito l'accesso con un utente diverso, scegli il link **Accedi a un account differente** nella parte inferiore della pagina per ritornare alla pagina principale di accesso. Da lì, puoi digitare l'ID o l'alias dell'account per essere reindirizzato alla pagina di accesso utente IAM relativa al tuo AWS account.
Per ottenere il tuo Account AWS ID, contatta l'amministratore.
1. Seleziona il nome utente in alto a destra nella barra di navigazione e scegli **Security credentials** (Credenziali di sicurezza).
![\[AWS Link alle credenziali di sicurezza della console di gestione\]](http://docs.aws.amazon.com/it_it/IAM/latest/UserGuide/images/security-credentials-user.shared.console.png)
1. Nella sezione **Access keys** (Chiavi di accesso) individua la chiave che desideri attivare, quindi scegli **Actions** (Operazioni) e poi **Activate** (Attiva).
## Eliminare la tua chiave di accesso (console)
Se ti sono state concesse le autorizzazioni appropriate, puoi utilizzarle Console di gestione AWS per eliminare la tua chiave di accesso.
**Eliminazione di una chiave di accesso quando non è più necessaria**
1. Utilizza l' AWS ID o l'alias dell'account, il nome utente IAM e la password per accedere alla console [IAM](https://console.aws.amazon.com/iam).
**Nota**
Per comodità, la pagina di AWS accesso utilizza un cookie del browser per ricordare il nome utente IAM e le informazioni sull'account. Se in precedenza è stato eseguito l'accesso con un utente diverso, scegli il link **Accedi a un account differente** nella parte inferiore della pagina per ritornare alla pagina principale di accesso. Da lì, puoi digitare l'ID o l'alias dell'account per essere reindirizzato alla pagina di accesso utente IAM relativa al tuo AWS account.
Per ottenere il tuo Account AWS ID, contatta l'amministratore.
1. Seleziona il nome utente in alto a destra nella barra di navigazione e scegli **Security credentials** (Credenziali di sicurezza).
![\[AWS Link alle credenziali di sicurezza della console di gestione\]](http://docs.aws.amazon.com/it_it/IAM/latest/UserGuide/images/security-credentials-user.shared.console.png)
1. Nella sezione **Access keys** (Chiavi di accesso) individua la chiave che desideri eliminare, quindi scegli **Actions** (Operazioni) e poi **Delete** (Elimina). Segui le istruzioni nella finestra di dialogo prima per **disattivare** la chiave e poi conferma l'eliminazione. Si consiglia di verificare che la chiave di accesso non sia più in uso prima di eliminarla definitivamente.
# In che modo un amministratore IAM può gestire le chiavi di accesso dell'utente IAM
Gli amministratori IAM possono creare, attivare, disattivare ed eliminare le chiavi di accesso associate ai singoli utenti IAM. Possono anche elencare gli utenti IAM dell'account che dispongono delle chiavi di accesso e individuare quale utente IAM dispone di una chiave di accesso specifica.
**Topics**
+ [Come creare una chiave di accesso per un utente IAM](#admin-create-access-key)
+ [Per disattivare una chiave di accesso per un utente IAM](#admin-deactivate-access-key)
+ [Per attivare una chiave di accesso per un utente IAM](#admin-activate-access-key)
+ [Come eliminare una chiave di accesso per un utente IAM](#admin-delete-access-key)
+ [Per elencare le chiavi di accesso per un utente IAM](#admin-list-access-key)
+ [Per elencare le chiavi di accesso per un utente IAM](#admin-list-access-key)
+ [Per visualizzare tutte le chiavi di accesso IDs per gli utenti del tuo account](#admin-list-all-access-keys)
+ [Per utilizzare l'ID di una chiave di accesso per trovare un utente](#admin-find-user-access-keys)
+ [Per trovare l'uso più recente di un ID della chiave di accesso](#admin-find-most-recent-use-access-keys)
## Come creare una chiave di accesso per un utente IAM
------
#### [ Console ]
1. Accedi Console di gestione AWS e apri la console IAM all'indirizzo [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/).
1. Nel pannello di navigazione, seleziona **Utenti**.
1. Scegli il nome utente per passare alla pagina dei dettagli dell'utente.
1. Nella scheda **Credenziali di sicurezza**, nella sezione **Chiavi di accesso**, scegli **Crea chiave di accesso**.
Se il pulsante è disattivato, dovrai eliminare una delle chiavi esistenti prima di poterne creare una nuova.
1. Sulla pagina **Access key best practices & alternatives** (Best practice e alternative per le chiavi di accesso), esamina le best practice e le alternative. Scegli il tuo caso d'uso per scoprire altre opzioni che possono aiutarti a evitare di creare una chiave di accesso a lungo termine.
1. Se ritieni che il tuo caso d'uso richieda comunque una chiave di accesso, scegli **Other** (Altro) e poi **Next** (Successivo).
1. **(Facoltativo)** Nella pagina **Imposta il tag di descrizione**, puoi aggiungere un tag descrittivo alla chiave di accesso per monitorare la chiave di accesso. Seleziona **Crea chiave di accesso**.
1. Nella pagina **Retrieve access key** (Recupera chiave di accesso), scegli **Show** (Mostra) per rivelare il valore della chiave di accesso segreta dell'utente.
1. Per salvare l'ID della chiave di accesso e la chiave di accesso segreta in un file `.csv` in una posizione sicura sul computer, seleziona il pulsante **Download .csv file** (Scarica file .csv).
**Importante**
Questa è l’unica opportunità per visualizzare o scaricare la chiave di accesso appena creata e non sarà possibile recuperarla. Assicurati di conservare in modo sicuro la tua chiave di accesso.
Quando crei una chiave di accesso per il tuo utente, la coppia di chiavi è attiva di default e può essere utilizzata immediatamente.
------
#### [ AWS CLI ]
Esegui il comando seguente:
+ [https://docs.aws.amazon.com/cli/latest/reference/iam/create-access-key.html](https://docs.aws.amazon.com/cli/latest/reference/iam/create-access-key.html)
------
#### [ API ]
Chiamare l'operazione seguente:
+ [https://docs.aws.amazon.com/IAM/latest/APIReference/API_CreateAccessKey.html](https://docs.aws.amazon.com/IAM/latest/APIReference/API_CreateAccessKey.html)
------
## Per disattivare una chiave di accesso per un utente IAM
------
#### [ Console ]
1. Accedi Console di gestione AWS e apri la console IAM all'indirizzo [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/).
1. Nel pannello di navigazione, seleziona **Utenti**.
1. Scegli il nome utente per passare alla pagina dei dettagli dell'utente.
1. Nella scheda **Credenziali di sicurezza**, nella sezione **Chiavi di accesso**, scegli il menu a discesa **Azioni**, quindi scegli **Disattiva**.
1. Nella finestra di dialogo **Disattiva**, conferma di voler disattivare la chiave di accesso selezionando **Disattiva**
Una volta disattivata, una chiave di accesso non può più essere utilizzata dalle chiamate API. Se necessario, puoi riattivarla.
------
#### [ AWS CLI ]
Esegui il comando seguente:
+ [https://docs.aws.amazon.com/cli/latest/reference/iam/update-access-key.html](https://docs.aws.amazon.com/cli/latest/reference/iam/update-access-key.html)
------
#### [ API ]
Chiamare l'operazione seguente:
+ [https://docs.aws.amazon.com/IAM/latest/APIReference/API_UpdateAccessKey.html](https://docs.aws.amazon.com/IAM/latest/APIReference/API_UpdateAccessKey.html)
------
## Per attivare una chiave di accesso per un utente IAM
------
#### [ Console ]
1. Accedi Console di gestione AWS e apri la console IAM all'indirizzo [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/).
1. Nel pannello di navigazione, seleziona **Utenti**.
1. Scegli il nome utente per passare alla pagina dei dettagli dell'utente.
1. Nella scheda **Credenziali di sicurezza**, nella sezione **Chiavi di accesso**, scegli il menu a discesa **Azioni**, quindi scegli **Attiva**.
Una volta attivata, una chiave di accesso può essere utilizzata dalle chiamate API. Se necessario, puoi disattivarla.
------
#### [ AWS CLI ]
Esegui il comando seguente:
+ [https://docs.aws.amazon.com/cli/latest/reference/iam/update-access-key.html](https://docs.aws.amazon.com/cli/latest/reference/iam/update-access-key.html)
------
#### [ API ]
Chiamare l'operazione seguente:
+ [https://docs.aws.amazon.com/IAM/latest/APIReference/API_UpdateAccessKey.html](https://docs.aws.amazon.com/IAM/latest/APIReference/API_UpdateAccessKey.html)
------
## Come eliminare una chiave di accesso per un utente IAM
Dopo aver disattivato una chiave di accesso, se non è più necessaria, eliminala.
------
#### [ Console ]
1. Accedi Console di gestione AWS e apri la console IAM all'indirizzo [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/).
1. Nel pannello di navigazione, seleziona **Utenti**.
1. Scegli il nome utente per passare alla pagina dei dettagli dell'utente.
1. Nella scheda **Credenziali di sicurezza**, nella sezione **Chiavi di accesso**, scegli il menu a discesa **Azioni** per la chiave di accesso inattiva, quindi scegli **Elimina**.
1. Nella finestra di dialogo **Elimina**, conferma di voler eliminare la chiave di accesso inserendo l'ID della chiave di accesso nel campo di immissione del testo e quindi selezionando **Elimina**.
Una volta eliminata, una chiave di accesso non può essere recuperata.
------
#### [ AWS CLI ]
Esegui il comando seguente:
+ [https://docs.aws.amazon.com/cli/latest/reference/iam/delete-access-key.html](https://docs.aws.amazon.com/cli/latest/reference/iam/delete-access-key.html)
------
#### [ API ]
Chiamare l'operazione seguente:
+ [https://docs.aws.amazon.com/IAM/latest/APIReference/API_DeleteAccessKey.html](https://docs.aws.amazon.com/IAM/latest/APIReference/API_DeleteAccessKey.html)
------
## Per elencare le chiavi di accesso per un utente IAM
Puoi visualizzare un elenco della chiave di accesso IDs associata a un utente IAM.
------
#### [ Console ]
1. Accedi Console di gestione AWS e apri la console IAM all'indirizzo [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/).
1. Nel pannello di navigazione, seleziona **Utenti**.
1. Scegli il nome utente per passare alla pagina dei dettagli dell'utente.
1. Nella scheda **Credenziali di sicurezza**, la sezione **Chiavi di accesso** elenca le chiavi di accesso per l'utente.
Ogni utente IAM può avere due chiavi di accesso.
------
#### [ AWS CLI ]
Esegui il comando seguente:
+ [https://docs.aws.amazon.com/cli/latest/reference/iam/list-access-keys.html](https://docs.aws.amazon.com/cli/latest/reference/iam/list-access-keys.html)
------
#### [ API ]
Chiamare l'operazione seguente:
+ [https://docs.aws.amazon.com/IAM/latest/APIReference/API_ListAccessKeys.html](https://docs.aws.amazon.com/IAM/latest/APIReference/API_ListAccessKeys.html)
------
## Per elencare le chiavi di accesso per un utente IAM
Puoi visualizzare un elenco della chiave di accesso IDs associata a un utente IAM.
------
#### [ Console ]
1. Accedi Console di gestione AWS e apri la console IAM all'indirizzo [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/).
1. Nel pannello di navigazione, seleziona **Utenti**.
1. Scegli il nome utente per passare alla pagina dei dettagli dell'utente.
1. Nella scheda **Credenziali di sicurezza**, la sezione **Chiavi di accesso** elenca la chiave di accesso IDs per l'utente, incluso lo stato di ogni chiave visualizzata.
**Nota**
Solo l'ID chiave di accesso dell'utente è visibile. La chiave di accesso segreta può essere recuperata solo al momento della creazione.
Ogni utente IAM può avere due chiavi di accesso.
------
#### [ AWS CLI ]
Esegui il comando seguente:
+ [https://docs.aws.amazon.com/cli/latest/reference/iam/list-access-keys.html](https://docs.aws.amazon.com/cli/latest/reference/iam/list-access-keys.html)
------
#### [ API ]
Chiamare l'operazione seguente:
+ [https://docs.aws.amazon.com/IAM/latest/APIReference/API_ListAccessKeys.html](https://docs.aws.amazon.com/IAM/latest/APIReference/API_ListAccessKeys.html)
------
## Per visualizzare tutte le chiavi di accesso IDs per gli utenti del tuo account
Puoi visualizzare un elenco delle chiavi di accesso IDs per gli utenti nel tuo Account AWS.
------
#### [ Console ]
1. Accedi Console di gestione AWS e apri la console IAM all'indirizzo [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/).
1. Nel pannello di navigazione, seleziona **Utenti**.
1. Scegli il nome utente per passare alla pagina dei dettagli dell'utente.
1. Se necessario, aggiungere la colonna **Access key ID (ID chiave di accesso)** alla tabella degli utenti mediante la procedura seguente:
1. Sopra la tabella all'estrema destra, seleziona l'icona **Preferenze** (![\[Preferences icon\]](http://docs.aws.amazon.com/it_it/IAM/latest/UserGuide/images/console-settings-icon.console.png)).
1. Nella finestra di dialogo **Preferenze**, in **Seleziona colonne visibili**, attiva **ID della chiave di accesso**.
1. Seleziona **Confirm** (Conferma) per tornare all'elenco degli utenti. L'elenco viene aggiornato in modo da includere l'ID della chiave di accesso.
1. La colonna **ID chiave di accesso** mostra lo stato di ogni chiave di accesso seguito dal relativo ID, ad esempio **`Active - AKIAIOSFODNN7EXAMPLE`** o **`Inactive - AKIAI44QH8DHBEXAMPLE`**.
Puoi utilizzare queste informazioni per visualizzare e copiare le chiavi di accesso IDs per gli utenti con una o due chiavi di accesso. Per gli utenti senza chiavi di accesso nella colonna è riportato **`-`**.
**Nota**
La chiave di accesso segreta può essere recuperata solo al momento della creazione.
Ogni utente IAM può avere due chiavi di accesso.
------
## Per utilizzare l'ID di una chiave di accesso per trovare un utente
Puoi utilizzare un ID di chiave di accesso per trovare un utente nel tuo Account AWS.
------
#### [ Console ]
1. Accedi Console di gestione AWS e apri la console IAM all'indirizzo [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/).
1. Nel pannello di navigazione, nella casella di ricerca, inserisci il valore **ID chiave di accesso**, ad esempio AKIAI44QH8DHBEXAMPLE.
1. L'utente IAM a cui è associato l'ID della chiave di accesso viene visualizzato nel riquadro di navigazione. Scegli il nome utente per passare alla pagina dei dettagli dell'utente.
------
## Per trovare l'uso più recente di un ID della chiave di accesso
L'uso più recente di una chiave di accesso viene visualizzato nell'elenco degli utenti nella pagina degli utenti IAM, nella pagina dei dettagli dell'utente e fa parte del report sulle credenziali.
------
#### [ Console ]
1. Accedi Console di gestione AWS e apri la console IAM all'indirizzo [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/).
1. Nell'elenco degli utenti, consulta la colonna **Ultimo utilizzo chiave di accesso**.
Se la colonna non è visualizzata, scegli l’icona **Preferenze** (![\[Preferences icon\]](http://docs.aws.amazon.com/it_it/IAM/latest/UserGuide/images/console-settings-icon.console.png)) e in **Seleziona colonne visibili** attiva l’opzione **Chiave di accesso utilizzata per l’ultima volta** per visualizzare la colonna.
1. (Facoltativo) Nel riquadro di navigazione, in **Report di accesso**, seleziona **Report delle credenziali** per scaricare un report che include le informazioni sull'ultimo utilizzo della chiave di accesso per tutti gli utenti IAM del tuo account.
1. (Facoltativo) Seleziona l'utente IAM per visualizzare i dettagli dell'utente. La sezione **Riepilogo** include la chiave di accesso IDs, il relativo stato e l'ultima volta che sono state utilizzate.
------
#### [ AWS CLI ]
Esegui il comando seguente:
+ [https://docs.aws.amazon.com/cli/latest/reference/iam/get-access-key-last-used.html](https://docs.aws.amazon.com/cli/latest/reference/iam/get-access-key-last-used.html)
------
#### [ API ]
Chiamare l'operazione seguente:
+ [https://docs.aws.amazon.com/IAM/latest/APIReference/API_GetAccessKeyLastUsed.html](https://docs.aws.amazon.com/IAM/latest/APIReference/API_GetAccessKeyLastUsed.html)
------
# Aggiornare le chiavi di accesso
Come [best practice](best-practices.md#update-access-keys) di sicurezza, è consigliabile aggiornare le chiavi di accesso degli utenti IAM all'occorrenza, ad esempio quando un dipendente lascia l'azienda. Gli utenti IAM possono aggiornare le proprie chiavi di accesso se dispongono delle autorizzazioni necessarie.
Per informazioni dettagliate su come concedere agli utenti IAM le autorizzazioni per aggiornare le proprie chiavi di accesso, consulta la pagina [AWS: consente agli utenti IAM di gestire la propria password, le chiavi di accesso e le chiavi pubbliche SSH nella pagina Credenziali di sicurezza](reference_policies_examples_aws_my-sec-creds-self-manage-pass-accesskeys-ssh.md). Inoltre, è possibile applicare all'account una policy delle password per richiedere che tutti gli utenti IAM aggiornino periodicamente le loro password e con quale frequenza. Per ulteriori informazioni, consulta [Configurare una policy delle password di un account per gli utenti IAM](id_credentials_passwords_account-policy.md).
**Nota**
Se perdi la chiave di accesso segreta, è necessario eliminarla e crearne una nuova. La chiave di accesso segreta può essere recuperata solo al momento della creazione. Utilizza questa procedura per disattivare e quindi sostituire eventuali chiavi di accesso perse con nuove credenziali.
**Topics**
+ [Aggiornamento delle chiavi di accesso dell'utente IAM (console)](#rotating_access_keys_console)
+ [Aggiornamento delle chiavi di accesso (AWS CLI)](#rotating_access_keys_cli)
+ [Aggiornamento delle chiavi di accesso (AWS API)](#rotating_access_keys_api)
## Aggiornamento delle chiavi di accesso dell'utente IAM (console)
È possibile aggiornare le chiavi di accesso dalla Console di gestione AWS.
**Per aggiornare le chiavi di accesso per un utente IAM senza interrompere le applicazioni (console)**
1. Mentre la prima chiave di accesso è ancora attiva, creare una seconda chiave di accesso.
1. Accedi Console di gestione AWS e apri la console IAM all'indirizzo [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/).
1. Nel pannello di navigazione, seleziona **Utenti**.
1. Selezionare il nome dell'utente, quindi selezionare la scheda **Security credentials (Credenziali di sicurezza)**.
1. Nella sezione **Chiavi di accesso**, scegliere **Crea chiave di accesso**. Sulla pagina **Access key best practices & alternatives** (Best practice e alternative per le chiavi di accesso), scegli **Other** (Altro), quindi scegli **Next** (Successivo).
1. (Facoltativo) Imposta un valore del tag di descrizione per la chiave di accesso per aggiungere una coppia chiave-valore del tag a questo utente IAM. Ciò consente di identificare e aggiornare le chiavi di accesso in un secondo momento. La chiave di tag è impostata sull'ID della chiave di accesso. Il valore del tag è impostato sulla descrizione della chiave di accesso specificata. Al termine, scegli **Create access key** (Crea chiave di accesso).
1. Nella pagina **Retrieve access keys** (Recupera chiavi di accesso), scegli **Show** (Mostra) per rivelare il valore della chiave di accesso segreta dell'utente o **Download .csv file** (Scarica il file .csv). Questa è la tua unica opportunità di salvare la chiave di accesso segreta. Dopo aver salvato la chiave di accesso segreta in una posizione sicura, scegli **Done** (Fatto).
Quando crei una chiave di accesso per il tuo utente, la coppia di chiavi è attiva di default e può essere utilizzata immediatamente. A questo punto, l'utente dispone di due chiavi di accesso attive.
1. Aggiornare tutte le applicazioni e gli strumenti in modo che utilizzino la nuova chiave di accesso.
1. Determina se la prima chiave di accesso è ancora in uso consultando la colonna **Last used** (Ultimo utilizzo) della chiave di accesso più vecchia. Un approccio è aspettare diversi giorni e quindi verificare se la vecchia chiave di accesso sia stata utilizzata prima di procedere.
1. Anche se il valore della colonna **Last used** (Ultimo utilizzo) indica che la vecchia chiave non è mai stata utilizzata, è consigliabile non eliminare immediatamente la prima chiave di accesso. Al contrario, seleziona **Actions** (Azioni) e poi **Deactivate** (Disattiva) per disattivare la prima chiave di accesso.
1. Utilizzare solo la nuova chiave di accesso per verificare che le applicazioni funzionino. Tutte le applicazioni e gli strumenti che utilizzano ancora la chiave di accesso originale smetteranno di funzionare a questo punto perché non hanno più accesso alle AWS risorse. Se questo è il caso, puoi riattivare la prima chiave di accesso. Quindi, tornare a [Step 3](#id_credentials_access-keys-key-still-in-use) e aggiornare l'applicazione in modo che utilizzi la nuova chiave.
1. Dopo aver atteso un periodo di tempo per avere la certezza che tutte le applicazioni e gli strumenti siano stati aggiornati, è possibile eliminare la prima chiave di accesso:
1. Accedi a Console di gestione AWS e apri la console IAM all'indirizzo [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/).
1. Nel pannello di navigazione, seleziona **Utenti**.
1. Selezionare il nome dell'utente, quindi selezionare la scheda **Security credentials (Credenziali di sicurezza)**.
1. Nella sezione **Access keys** (Chiavi di accesso) individua la chiave di accesso che desideri eliminare, quindi scegli **Actions** (Operazioni) e poi **Delete** (Elimina). Segui le istruzioni nella finestra di dialogo prima per **disattivare** la chiave e poi per confermare l'eliminazione.
**Per determinare quali chiavi di accesso devono essere aggiornate o eliminate (console)**
1. Accedi Console di gestione AWS e apri la console IAM all'indirizzo [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/).
1. Nel pannello di navigazione, seleziona **Utenti**.
1. Se necessario, aggiungere la colonna **Access key age (Durata chiave di accesso)** alla tabella degli utenti mediante la procedura seguente:
1. Sopra la tabella all'estrema destra, selezionare l'icona delle impostazioni (![\[Settings icon\]](http://docs.aws.amazon.com/it_it/IAM/latest/UserGuide/images/console-settings-icon.console.png)).
1. In **Manage columns (Gestisci colonne)** selezionare **Access key age (Durata chiave di accesso)**.
1. Selezionare **Close (Chiudi)** per tornare all'elenco degli utenti.
1. La colonna **Access key age (Durata chiave di accesso)** mostra il numero di giorni trascorsi dalla creazione della più vecchia chiave di accesso attiva. È possibile utilizzare queste informazioni per trovare gli utenti per i quali potrebbe essere necessario aggiornare o eliminare le chiavi di accesso. La colonna visualizza **None (Nessuna)** per gli utenti senza chiavi di accesso.
## Aggiornamento delle chiavi di accesso (AWS CLI)
È possibile aggiornare le chiavi di accesso dalla AWS Command Line Interface.
**Per aggiornare le chiavi di accesso senza interrompere le applicazioni (AWS CLI)**
1. Mentre la prima chiave di accesso è ancora attiva, creare una seconda chiave di accesso, che è attiva per default. Esegui il comando seguente:
+ [https://docs.aws.amazon.com/cli/latest/reference/iam/create-access-key.html](https://docs.aws.amazon.com/cli/latest/reference/iam/create-access-key.html)
A questo punto, l'utente dispone di due chiavi di accesso attive.
1. Aggiornare tutte le applicazioni e gli strumenti in modo che utilizzino la nuova chiave di accesso.
1. Determinare se la prima chiave di accesso è ancora in uso utilizzando questo comando:
+ [https://docs.aws.amazon.com/cli/latest/reference/iam/get-access-key-last-used.html](https://docs.aws.amazon.com/cli/latest/reference/iam/get-access-key-last-used.html)
Un approccio è aspettare diversi giorni e quindi verificare se la vecchia chiave di accesso sia stata utilizzata prima di procedere.
1. Anche se la fase [Step 3](#step-determine-use) indica che la vecchia chiave non è stata utilizzata, è consigliabile non eliminare immediatamente la prima chiave di accesso. Al contrario, modificare lo stato della prima chiave di accesso in `Inactive` utilizzando questo comando:
+ [https://docs.aws.amazon.com/cli/latest/reference/iam/update-access-key.html](https://docs.aws.amazon.com/cli/latest/reference/iam/update-access-key.html)
1. Utilizzare solo la nuova chiave di accesso per verificare che le applicazioni funzionino. Tutte le applicazioni e gli strumenti che utilizzano ancora la chiave di accesso originale smetteranno di funzionare a questo punto perché non hanno più accesso alle AWS risorse. Se questo è il caso, è possibile ripristinare lo stato `Active` per riattivare la prima chiave di accesso. Quindi, tornare alla fase [Step 2](#step-update-apps) e aggiornare l'applicazione in modo che utilizzi la nuova chiave.
1. Dopo aver atteso un periodo di tempo per avere la certezza che tutte le applicazioni e gli strumenti siano stati aggiornati, è possibile eliminare la prima chiave di accesso con questo comando:
+ [https://docs.aws.amazon.com/cli/latest/reference/iam/delete-access-key.html](https://docs.aws.amazon.com/cli/latest/reference/iam/delete-access-key.html)
## Aggiornamento delle chiavi di accesso (AWS API)
È possibile aggiornare le chiavi di accesso utilizzando l' AWS API.
**Per aggiornare le chiavi di accesso senza interrompere le applicazioni (AWS API)**
1. Mentre la prima chiave di accesso è ancora attiva, creare una seconda chiave di accesso, che è attiva per default. Chiamare l'operazione seguente:
+ [https://docs.aws.amazon.com/IAM/latest/APIReference/API_CreateAccessKey.html](https://docs.aws.amazon.com/IAM/latest/APIReference/API_CreateAccessKey.html)
A questo punto, l'utente dispone di due chiavi di accesso attive.
1. Aggiornare tutte le applicazioni e gli strumenti in modo che utilizzino la nuova chiave di accesso.
1. Determinare se la prima chiave di accesso è ancora in uso chiamando questa operazione:
+ [https://docs.aws.amazon.com/IAM/latest/APIReference/API_GetAccessKeyLastUsed.html](https://docs.aws.amazon.com/IAM/latest/APIReference/API_GetAccessKeyLastUsed.html)
Un approccio è aspettare diversi giorni e quindi verificare se la vecchia chiave di accesso sia stata utilizzata prima di procedere.
1. Anche se la fase [Step 3](#step-determine-use-2) indica che la vecchia chiave non è stata utilizzata, è consigliabile non eliminare immediatamente la prima chiave di accesso. Al contrario, modificare lo stato della prima chiave di accesso in `Inactive` chiamando questa operazione:
+ [https://docs.aws.amazon.com/IAM/latest/APIReference/API_UpdateAccessKey.html](https://docs.aws.amazon.com/IAM/latest/APIReference/API_UpdateAccessKey.html)
1. Utilizzare solo la nuova chiave di accesso per verificare che le applicazioni funzionino. Tutte le applicazioni e gli strumenti che utilizzano ancora la chiave di accesso originale smetteranno di funzionare a questo punto perché non hanno più accesso alle AWS risorse. Se questo è il caso, è possibile ripristinare lo stato `Active` per riattivare la prima chiave di accesso. Quindi, tornare alla fase [Step 2](#step-update-apps-2) e aggiornare l'applicazione in modo che utilizzi la nuova chiave.
1. Dopo aver atteso un periodo di tempo per avere la certezza che tutte le applicazioni e gli strumenti siano stati aggiornati, è possibile eliminare la prima chiave di accesso chiamando questa operazione:
+ [https://docs.aws.amazon.com/IAM/latest/APIReference/API_DeleteAccessKey.html](https://docs.aws.amazon.com/IAM/latest/APIReference/API_DeleteAccessKey.html)
# Proteggere le chiavi di accesso
Chiunque disponga delle tue chiavi di accesso ha lo stesso livello di accesso alle tue AWS risorse che hai tu. Di conseguenza, AWS fa di tutto per proteggere le vostre chiavi di accesso e, in linea con il nostro [modello di responsabilità condivisa](https://aws.amazon.com/compliance/shared-responsibility-model/), dovreste farlo anche voi.
Espandi le seguenti sezioni per ulteriori informazioni su come proteggere le chiavi di accesso.
**Nota**
La tua organizzazione può avere policy e requisiti di sicurezza differenti rispetto a quelli descritti in questo argomento. I suggerimenti qui forniti sono destinati a essere linee guida generali.
## Rimuovi (o non genera) le chiavi di accesso Utente root dell'account AWS
**Uno dei modi migliori per proteggere il tuo account è non disporre di chiavi di accesso dell' Utente root dell'account AWS.** A meno che non necessiti di disporre delle chiavi di accesso dell'utente root (il che è raro), è consigliabile non generarle. Crea invece un utente amministrativo AWS IAM Identity Center per le attività amministrative quotidiane. Per informazioni su come creare un utente amministrativo in IAM Identity Center, consulta la [Guida introduttiva](https://docs.aws.amazon.com//singlesignon/latest/userguide/getting-started.html) alla *IAM Identity Center* User Guide.
Se già disponi di chiavi di accesso dell'utente root per il tuo account, ti consigliamo di attenerti alle seguenti indicazioni: trova i punti nelle applicazioni in cui stai attualmente utilizzando le chiavi di accesso (se presenti) e sostituisci le chiavi di accesso dell'utente root con le chiavi di accesso dell'utente IAM. Quindi disabilita e rimuovi le chiavi di accesso dell'utente root. Per ulteriori informazioni sull'aggiornamento delle chiavi di accesso, consulta la pagina [Aggiornare le chiavi di accesso](id-credentials-access-keys-update.md)
## Utilizzo di credenziali di sicurezza temporanee (ruoli IAM) al posto delle chiavi di accesso a lungo termine
In molti scenari, non è necessaria una chiave di accesso a lungo termine a validità illimitata (come accade invece per gli utenti IAM). Al contrario, è possibile creare ruoli IAM e generare credenziali di sicurezza temporanee. Tali credenziali sono composte dall'ID della chiave di accesso e dalla chiave di accesso segreta, ma includono anche un token di sicurezza che ne indica la scadenza.
Le chiavi di accesso a lungo termine, ad esempio quelle associate a utenti IAM ed all'utente root, rimangono valide finché non vengono revocate manualmente. Tuttavia, le credenziali di sicurezza temporanee ottenute tramite i ruoli IAM e altre funzionalità di IAM AWS Security Token Service scadono dopo un breve periodo di tempo. Utilizza le credenziali di sicurezza temporanee per ridurre i rischi in caso di esposizione accidentale delle credenziali.
Utilizzare un ruolo IAM e le credenziali di sicurezza temporanee in questi scenari:
+ **Hai un'applicazione o AWS CLI degli script in esecuzione su un'istanza Amazon EC2.** Non utilizzare le chiavi di accesso direttamente nell'applicazione. Non passare le chiavi di accesso all'applicazione, incorporarle nell'applicazione o lasciare che l'applicazione legga una chiave da qualsiasi origine. Al contrario, definisci un ruolo IAM con le autorizzazioni appropriate per l'applicazione e avvia l'istanza Amazon Elastic Compute Cloud (Amazon EC2) con i [ruoli per EC2](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-ec2.html). In questo modo viene associato un ruolo IAM all'istanza Amazon EC2. Questa pratica, inoltre, consente all'applicazione di ottenere credenziali di sicurezza temporanee, che a sua volta può utilizzare per effettuare chiamate a livello di programmazione ad AWS. The AWS SDKs and the AWS Command Line Interface (AWS CLI) può ottenere automaticamente credenziali temporanee dal ruolo.
+ **Devi concedere l'accesso tra account.** Utilizzare un ruolo IAM per stabilire l'attendibilità tra gli account, quindi concedere agli utenti di un account autorizzazioni limitate per accedere all'account attendibile. Per ulteriori informazioni, consulta [Tutorial IAM: delega l'accesso tra AWS account utilizzando i ruoli IAM](tutorial_cross-account-with-roles.md).
+ **Hai a disposizione un'app mobile.** Non integrare le chiavi di accesso con l'app, anche nell'archiviazione crittografata. Al contrario, utilizzare [Amazon Cognito](https://aws.amazon.com/cognito/) per la gestione dell'identità degli utenti nell'applicazione. Questo servizio consente di autenticare gli utenti utilizzando Login with Amazon, Facebook, Google o qualsiasi provider di identità compatibile con OpenID Connect (OIDC). È quindi possibile utilizzare il provider di credenziali Amazon Cognito per gestire le credenziali che l'app usa per le richieste ad AWS.
+ **Vuoi unirti a SAML 2.0 AWS e la tua organizzazione supporta SAML 2.0.** Se si lavora per un'organizzazione che dispone di un provider di identità che supporta SAML 2.0, configurare il provider per l'utilizzo di SAML. Puoi utilizzare SAML per scambiare informazioni di autenticazione AWS e recuperare un set di credenziali di sicurezza temporanee. Per ulteriori informazioni, consulta [Federazione SAML 2.0](id_roles_providers_saml.md).
+ **Vuoi eseguire la federazione AWS e la tua organizzazione dispone di un archivio di identità locale.** Se gli utenti possono autenticarsi all'interno dell'organizzazione, è possibile scrivere un'applicazione in grado di emettere loro credenziali di sicurezza temporanee per l'accesso alle risorse. AWS Per ulteriori informazioni, consulta [Abilita l'accesso personalizzato del broker di identità alla AWS console](id_roles_providers_enable-console-custom-url.md).
+ **Utilizza le condizioni nelle policy IAM per consentire l’accesso solo dalle reti previste.** Puoi limitare dove e come vengono utilizzate le chiavi di accesso implementando [policy IAM con condizioni](reference_policies_elements_condition_operators.md) che specificano e consentano solo le reti previste, come gli indirizzi IP pubblici o i Virtual Private Clouds ()VPCs. In questo modo sai che le chiavi di accesso possono essere utilizzate solo da reti previste e accettabili.
**Nota**
Stai usando un'istanza Amazon EC2 con un'applicazione che richiede l'accesso programmatico alle risorse? AWS In tal caso, utilizza i [ruoli IAM per EC2](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-ec2.html).
## Gestione corretta delle chiavi di accesso dell'utente IAM
Se devi creare chiavi di accesso per l'accesso programmatico AWS, creale per gli utenti IAM, concedendo agli utenti solo le autorizzazioni di cui hanno bisogno.
Osserva queste precauzioni per proteggere le chiavi di accesso degli utenti IAM:
+ **Non incorporare le chiavi di accesso direttamente nel codice.** Gli strumenti da [riga di AWS comando [AWS SDKs](https://aws.amazon.com/tools/#sdk)e gli strumenti](https://aws.amazon.com/tools/#cli) a riga di comando ti consentono di inserire le chiavi di accesso in posizioni note in modo da non doverle conservare nel codice.
Colloca le chiavi di accesso in una delle posizioni seguenti:
+ **Il file AWS delle credenziali.** L' AWS SDKs e utilizza AWS CLI automaticamente le credenziali archiviate nel file delle AWS credenziali.
Per informazioni sull'utilizzo del file delle AWS credenziali, consulta la documentazione del tuo SDK. *Gli esempi includono [Set AWS Credentials and Region nella AWS SDK per Java](https://docs.aws.amazon.com/sdk-for-java/latest/developer-guide/setup-credentials.html) *Developer Guide e i [file di configurazione e credenziali](https://docs.aws.amazon.com/cli/latest/userguide/cli-configure-files.html) nella Guida* per l'utente.AWS Command Line Interface *
Per memorizzare le credenziali per AWS SDK per .NET and the AWS Tools for Windows PowerShell, ti consigliamo di utilizzare SDK Store. Per ulteriori informazioni, consulta [Utilizzo dell'SDK Store](https://docs.aws.amazon.com/sdk-for-net/v3/developer-guide/sdk-store.html) nella *Guida per gli sviluppatori di AWS SDK per .NET *.
+ **Variabili di ambiente.** In un sistema multi-tenant, scegli le variabili di ambiente dell'utente e non le variabili di ambiente del sistema.
Per ulteriori informazioni sull'utilizzo di variabili di ambiente per archiviare le credenziali, consultare la sezione [Variabili di ambiente](https://docs.aws.amazon.com/cli/latest/userguide/cli-configure-envvars.html) nella *Guida per l'utente di AWS Command Line Interface *.
+ **Utilizza chiavi di accesso diverse per applicazioni differenti.** Esegui questa operazione in modo da isolare le autorizzazioni e revocare le chiavi di accesso per le singole applicazioni in caso una di esse venga esposta. Avere chiavi di accesso separate per applicazioni diverse genera anche voci distinte nei file di log [AWS CloudTrail](https://aws.amazon.com/cloudtrail/). Questa configurazione consente di determinare più facilmente quale applicazione ha eseguito azioni specifiche.
+ **Aggiorna le chiavi di accesso all'occorrenza.** Se esiste il rischio che la chiave di accesso possa essere compromessa, aggiorna la chiave di accesso ed elimina quella precedente. Per maggiori dettagli, consultare [Aggiornare le chiavi di accesso](id-credentials-access-keys-update.md).
+ **Rimuovi le chiavi di accesso inutilizzate.** Se un utente lascia l'organizzazione, rimuovere l'utente IAM corrispondente in modo che non possa più accedere alle risorse. Per scoprire quando è stata utilizzata l'ultima volta una chiave di accesso, utilizza l'[https://docs.aws.amazon.com/IAM/latest/APIReference/API_GetAccessKeyLastUsed.html](https://docs.aws.amazon.com/IAM/latest/APIReference/API_GetAccessKeyLastUsed.html)API (AWS CLI comando: [https://docs.aws.amazon.com/cli/latest/reference/iam/get-access-key-last-used.html](https://docs.aws.amazon.com/cli/latest/reference/iam/get-access-key-last-used.html)).
+ **Utilizza le credenziali temporanee e configura l'autenticazione a più fattori (MFA) per le operazioni API più sensibili.** Con le policy IAM, è possibile specificare le operazioni API che un utente è autorizzato a chiamare. In alcuni casi, potresti richiedere la sicurezza aggiuntiva di richiedere l'autenticazione degli utenti con AWS MFA prima di consentire loro di eseguire azioni particolarmente sensibili. Potrebbe ad esempio esserci una policy che permette a un utente di eseguire le operazioni `RunInstances`, `DescribeInstances` e `StopInstances` di Amazon EC2. Ma potresti voler limitare un'azione distruttiva come `TerminateInstances` e assicurarti che gli utenti possano eseguire tale azione solo se si autenticano con un dispositivo AWS MFA. Per ulteriori informazioni, consulta [Accesso sicuro alle API con MFA](id_credentials_mfa_configure-api-require.md).
## Accedi all'app per dispositivi mobili utilizzando i tasti di accesso AWS
Puoi accedere a un set limitato di AWS servizi e funzionalità utilizzando l'app AWS mobile. L'app mobile ti aiuta a supportare la risposta agli incidenti mentre sei in viaggio. Per ulteriori informazioni e per scaricare l'app, consulta [AWS Console Mobile Application](https://aws.amazon.com/console/mobile/).
È possibile accedere all'app per dispositivi mobili utilizzando la password della console o le chiavi di accesso. Come best practice, non utilizzare le chiavi di accesso dell'utente root. Ti consigliamo invece vivamente, oltre a utilizzare una password o un blocco biometrico sul tuo dispositivo mobile, di creare un utente IAM specifico per la gestione AWS delle risorse tramite l'app mobile. Se si perde il dispositivo mobile, è possibile rimuovere l'accesso dell'utente IAM.
**Accesso mediante le chiavi di accesso (app per dispositivi mobili)**
1. Apri l'app sul tuo dispositivo mobile.
1. Se questa è la prima volta che aggiungi un'identità al dispositivo, scegli **Add an identity (Aggiungi un'identità)** e scegli **Access keys (Chiavi di accesso)**.
Se hai già effettuato l'accesso utilizzando un'altra identità, scegli l'icona del menu e scegli **Switch identity (Cambia identità)**. Quindi scegli **Sign in as a different identity (Accedi come identità diversa)** e quindi **Access keys (Chiavi di accesso)**.
1. Nella pagina **Access keys (Chiavi di accesso)** immetti le informazioni nei campi.
+ **ID chiave di accesso**: immettere l'ID chiave di accesso.
+ **Chiave di accesso segreta**: inserire la chiave di accesso segreta.
+ **Nome dell'identità**: immettere il nome dell'identità che verrà visualizzata nell'applicazione per dispositivi mobili. Non è necessario che corrisponda al nome utente IAM.
+ **PIN identità**: creare un PIN (Personal Identification Number) da utilizzare per gli accessi futuri.
**Nota**
Se abiliti la biometria per l'app AWS mobile, ti verrà richiesto di utilizzare l'impronta digitale o il riconoscimento facciale per la verifica anziché il PIN. Se la biometria restituisce un errore, potrebbe venire richiesto il PIN.
1. Scegliere **Verify and add keys (Verifica e aggiungi chiavi)**.
È ora possibile accedere a un set selezionato di risorse mediante l'app per dispositivi mobili.
## Informazioni correlate
I seguenti argomenti forniscono indicazioni per la configurazione AWS SDKs e l'utilizzo dei tasti AWS CLI di accesso:
+ [Imposta AWS le credenziali e la regione](https://docs.aws.amazon.com/sdk-for-java/latest/developer-guide/setup-credentials.html) nella Guida per gli *AWS SDK per Java sviluppatori*
+ [Utilizzo dell'SDK Store](https://docs.aws.amazon.com/sdk-for-net/v3/developer-guide/sdk-store.html) nella *Guida per gli sviluppatori di AWS SDK per .NET *.
+ [Specifica delle credenziali all'SDK](https://docs.aws.amazon.com/aws-sdk-php/v2/guide/credentials.html) nella *Guida per gli sviluppatori di AWS SDK per PHP *.
+ [Configurazione](https://boto3.amazonaws.com/v1/documentation/api/latest/guide/quickstart.html#configuration) nella documentazione di Boto 3 (AWS SDK per Python)
+ [Utilizzo delle credenziali AWS](https://docs.aws.amazon.com/powershell/latest/userguide/specifying-your-aws-credentials.html) nella *Guida per l'utente di AWS Tools for Windows PowerShell *
+ [File di configurazione e delle credenziali](https://docs.aws.amazon.com/cli/latest/userguide/cli-configure-files.html) nella *Guida per l'utente di AWS Command Line Interface *.
+ [Concessione dell'accesso utilizzando un ruolo IAM](https://docs.aws.amazon.com/sdk-for-net/latest/developer-guide/net-dg-hosm.html) nella *Guida per gli sviluppatori di AWS SDK per .NET *
+ [Configurazione dei ruoli IAM per Amazon EC2](https://docs.aws.amazon.com/sdk-for-java/latest/developer-guide/java-dg-roles.html) nell'*AWS SDK for Java 2.x*
## Utilizzo delle chiavi di accesso e delle credenziali segrete per l’accesso alla console
È possibile utilizzare la chiave di accesso e le credenziali della chiave segreta per l’accesso diretto alla Console di gestione AWS , non solo la AWS CLI. Ciò può essere ottenuto utilizzando la AWS STS [https://docs.aws.amazon.com/STS/latest/APIReference/API_GetFederationToken.html](https://docs.aws.amazon.com/STS/latest/APIReference/API_GetFederationToken.html)chiamata API. Creando un URL della console utilizzando le credenziali e il token temporanei forniti da `GetFederationToken`, i principali IAM possono accedere alla console. Per ulteriori informazioni, consulta [Abilita l'accesso personalizzato del broker di identità alla AWS console](id_roles_providers_enable-console-custom-url.md).
È bene chiarire che quando si accede alla console direttamente utilizzando credenziali utente IAM o root con MFA abilitata, sarà richiesta l’MFA. Tuttavia, se si utilizza il metodo sopra descritto (utilizzando credenziali temporanee con `GetFederationToken`), l’MFA NON sarà richiesta.
## Audit delle chiavi di accesso
Puoi esaminare le chiavi di AWS accesso contenute nel codice per determinare se provengono da un account di tua proprietà. Puoi passare l'ID di una chiave di accesso utilizzando il [https://docs.aws.amazon.com/cli/latest/reference/sts/get-access-key-info.html](https://docs.aws.amazon.com/cli/latest/reference/sts/get-access-key-info.html) AWS CLI comando o l'operazione [https://docs.aws.amazon.com/STS/latest/APIReference/API_GetAccessKeyInfo.html](https://docs.aws.amazon.com/STS/latest/APIReference/API_GetAccessKeyInfo.html) AWS API.
Le operazioni AWS CLI and AWS API restituiscono l'ID Account AWS a cui appartiene la chiave di accesso. Le chiavi di accesso che IDs iniziano con `AKIA` sono credenziali a lungo termine per un utente IAM o un Utente root dell'account AWS. Le chiavi di accesso che IDs iniziano con `ASIA` sono credenziali temporanee create utilizzando AWS STS le operazioni. Se l'account nella risposta appartiene a te, puoi effettuare l'accesso come utente root e rivedere le chiavi di accesso dell'utente root. Quindi, puoi estrarre un [report delle credenziali](id_credentials_getting-report.md) per scoprire quale utente IAM possiede le chiavi. Per sapere chi ha richiesto le credenziali temporanee per una chiave di `ASIA` accesso, visualizza gli AWS STS eventi nei tuoi CloudTrail registri.
Per motivi di sicurezza, puoi [esaminare AWS CloudTrail i log](cloudtrail-integration.md#cloudtrail-integration_signin-tempcreds) per scoprire chi ha eseguito un'azione in. AWSÈ possibile utilizzare la chiave di condizione `sts:SourceIdentity` nella policy di attendibilità del ruolo per richiedere agli utenti di specificare un'identità quando assumono un ruolo. Ad esempio, è possibile richiedere che gli utenti IAM specifichino il proprio nome utente come identità di origine. In questo modo è possibile determinare quale utente ha eseguito un'operazione specifica in AWS. Per ulteriori informazioni, consulta [`sts:SourceIdentity`](reference_policies_iam-condition-keys.md#ck_sourceidentity).
Questa operazione non indica lo stato della chiave di accesso. La chiave potrebbe essere attiva, inattiva o eliminata. Le chiavi attive potrebbero non disporre delle autorizzazioni per eseguire un'operazione. Fornire una chiave di accesso eliminata potrebbe restituire un errore indicante che la chiave non esiste.
# AWS Autenticazione a più fattori in IAM
Per una maggiore sicurezza, ti consigliamo di configurare l'autenticazione a più fattori (MFA) per proteggere AWS le tue risorse. Puoi abilitare l'MFA per tutti Account AWS, inclusi gli account autonomi, gli account Utente root dell'account AWS di gestione e gli account dei membri, nonché per i tuoi utenti IAM. Ti consigliamo di utilizzare MFA resistenti al phishing, come passkey e chiavi di sicurezza, ogni volta che è possibile. Questi autenticatori basati su FIDO utilizzano la crittografia a chiave pubblica e resistono agli attacchi di phishing e replay man-in-the-middle, offrendo un livello di sicurezza più elevato rispetto alle opzioni basate su TOTP.
L’MFA viene applicata a tutti i tipi di account per il relativo utente root. Per ulteriori informazioni, consulta [Proteggi le AWS Organizations credenziali utente root del tuo account](root-user-best-practices.md#ru-bp-organizations).
Quando abiliti MFA per l'utente root, questa impostazione influisce solo sulle credenziali dell'utente root. Gli utenti IAM nell'account sono identità distinte con proprie credenziali e ogni identità ha la propria configurazione MFA. Per ulteriori informazioni sull’utilizzo dell’MFA per proteggere l’utente root, consulta [Autenticazione a più fattori per Utente root dell'account AWS](enable-mfa-for-root.md).
I tuoi utenti Utente root dell'account AWS e IAM possono registrare fino a otto dispositivi MFA di qualsiasi tipo. La registrazione di più dispositivi MFA può offrire flessibilità e contribuire a ridurre il rischio di interruzione dell'accesso in caso di smarrimento o guasto di un dispositivo. È necessario un solo dispositivo MFA per accedere alla Console di gestione AWS o creare una sessione tramite la AWS CLI.
**Nota**
Ti consigliamo di richiedere agli utenti umani di utilizzare credenziali temporanee per l'accesso. AWS Hai preso in considerazione l'utilizzo AWS IAM Identity Center? Puoi utilizzare IAM Identity Center per gestire centralmente l'accesso a più account Account AWS e fornire agli utenti un accesso Single Sign-On protetto da MFA a tutti gli account assegnati da un'unica posizione. Con IAM Identity Center puoi creare e gestire le identità degli utenti in IAM Identity Center o connetterti facilmente al tuo attuale gestore dell'identità digitale (IdP) compatibile con SAML 2.0. Per ulteriori informazioni, consulta [Cos'è IAM Identity Center?](https://docs.aws.amazon.com/singlesignon/latest/userguide/what-is.html) nella *Guida per l'utente di AWS IAM Identity Center *.
La MFA aggiunge una maggiore sicurezza che richiede agli utenti di fornire un'autenticazione unica da un meccanismo AWS MFA supportato oltre alle credenziali di accesso quando accedono a siti Web o servizi. AWS
## Tipi di MFA
AWS supporta i seguenti tipi di MFA:
**Contents**
+ [Passkey e chiavi di sicurezza](#passkeys-security-keys-for-iam-users)
+ [Applicazioni di autenticazione virtuale](#virtual-auth-apps-for-iam-users)
+ [Token TOTP hardware](#hardware-totp-token-for-iam-users)
### Passkey e chiavi di sicurezza
AWS Identity and Access Management supporta passkey e chiavi di sicurezza per MFA. In base agli standard FIDO, le passkey utilizzano la crittografia a chiave pubblica per fornire un'autenticazione forte e resistente al phishing, più sicura delle password. AWS supporta due tipi di passkey: passkey legate al dispositivo (chiavi di sicurezza) e passkey sincronizzate.
+ **Chiavi di sicurezza**: si tratta di dispositivi fisici, come un YubiKey, utilizzati come secondo fattore di autenticazione. Una singola chiave di sicurezza può supportare più account utente root e utenti IAM.
+ **Passkey sincronizzate**: come secondo fattore utilizzano gestori di credenziali di provider come Google, Apple, account Microsoft e servizi di terze parti come 1Password, Dashlane e Bitwarden come secondo fattore.
Puoi utilizzare gli autenticatori biometrici integrati, come Touch ID su Apple MacBooks, per sbloccare il gestore delle credenziali e accedere a. AWS Le passkey vengono create con il provider scelto utilizzando l'impronta digitale, il viso o il PIN del dispositivo. Puoi anche utilizzare una passkey di autenticazione tra dispositivi (CDA) da un dispositivo, ad esempio un dispositivo mobile o una chiave di sicurezza hardware, per accedere su un altro dispositivo, ad esempio un laptop. Per ulteriori informazioni, consulta [Cross-device authentication (CDA)](https://passkeys.dev/docs/reference/terms/#cross-device-authentication-cda).
Puoi sincronizzare le passkey tra i tuoi dispositivi per facilitare gli accessi e migliorare l'usabilità e la recuperabilità. AWS Per ulteriori informazioni sull'abilitazione delle passkey e delle chiavi di sicurezza, consulta [Abilitare una passkey o una chiave di sicurezza per l'utente root (console)](enable-fido-mfa-for-root.md).
FIDO Alliance mantiene un elenco di tutti i [prodotti certificati FIDO](https://fidoalliance.org/certification/fido-certified-products/) compatibili con le specifiche FIDO.
### Applicazioni di autenticazione virtuale
Un'applicazione di autenticazione virtuale che viene eseguita su un telefono o altro dispositivo e simula un dispositivo fisico. Le app di autenticazione virtuale implementano l'algoritmo TOTP ([password monouso](https://datatracker.ietf.org/doc/html/rfc6238)) e supportano più token su un singolo dispositivo. L'utente deve immettere un codice valido dal dispositivo quando richiesto durante la procedura di accesso. Ogni token assegnato a un utente deve essere univoco. Per autenticarsi, un utente non può digitare un codice dal token di un altro utente.
Ti consigliamo di utilizzare MFA resistenti al phishing [come passkey o chiavi di sicurezza](#passkeys-security-keys-for-iam-users) per la massima protezione. Se non sei ancora in grado di utilizzare le passkey o le chiavi di sicurezza, ti consigliamo di utilizzare un dispositivo MFA virtuale come misura provvisoria in attesa dell'approvazione dell'acquisto dell'hardware o mentre aspetti che arrivi l'hardware. Per un elenco di alcune delle app supportate che puoi utilizzare come dispositivi MFA virtuali, consulta la pagina [Autenticazione a più fattori (MFA)](https://aws.amazon.com/iam/features/mfa/?audit=2019q1).
Per istruzioni sulla configurazione di un dispositivo MFA virtuale per un utente IAM, consulta [Assegna un dispositivo MFA virtuale nel Console di gestione AWS](id_credentials_mfa_enable_virtual.md).
**Nota**
I dispositivi MFA virtuali non assegnati vengono eliminati quando aggiungi nuovi dispositivi MFA virtuali tramite o durante Console di gestione AWS la procedura di accesso. Account AWS I dispositivi MFA virtuali non assegnati sono dispositivi presenti nell’account ma non utilizzati dall’utente root dell’account o dagli utenti IAM per il processo di accesso. Vengono eliminati in modo da poter aggiungere nuovi dispositivi MFA virtuali al tuo account. Questo consente anche di riutilizzare i nomi dei dispositivi.
Per visualizzare i dispositivi MFA virtuali non assegnati nel tuo account, puoi utilizzare [list-virtual-mfa-devices](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/iam/list-virtual-mfa-devices.html) AWS CLI il comando [o](https://docs.aws.amazon.com/IAM/latest/APIReference/API_ListVirtualMFADevices.html) la chiamata API.
Per disattivare un dispositivo MFA virtuale, puoi utilizzare [deactivate-mfa-device](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/iam/deactivate-mfa-device.html) AWS CLI il comando [o](https://docs.aws.amazon.com/IAM/latest/APIReference/API_DeactivateMFADevice.html) la chiamata API. Verrà annullata l’assegnazione del dispositivo.
Per collegare un dispositivo MFA virtuale non assegnato all' Account AWS utente root o agli utenti IAM, è necessario il codice di autenticazione generato dal dispositivo insieme al comando [o [enable-mfa-device](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/iam/enable-mfa-device.html)AWS CLI](https://docs.aws.amazon.com/IAM/latest/APIReference/API_EnableMFADevice.html)alla chiamata API.
### Token TOTP hardware
Un dispositivo hardware che genera un codice numerico a sei cifre basato sull'algoritmo con [password monouso](https://datatracker.ietf.org/doc/html/rfc6238). L'utente deve immettere un codice valido dal dispositivo su una seconda pagina Web durante la procedura di accesso.
Questi token vengono utilizzati esclusivamente con. Account AWS Puoi utilizzare solo token con i loro token seed unici condivisi in modo sicuro. AWS I token seed sono chiavi segrete generate al momento della produzione dei token. I token acquistati da altre origini non funzioneranno con IAM. Per garantire la compatibilità, è necessario acquistare il dispositivo hardware MFA da uno dei seguenti link: [token OTP](https://www.amazon.com/SafeNet-IDProve-Time-based-6-Digit-Services/dp/B002CRN5X8) o [scheda video OTP](https://www.amazon.com/SafeNet-IDProve-Card-Amazon-Services/dp/B00J4NGUO4).
+ Ogni dispositivo MFA assegnato a un utente deve essere univoco. Per essere autenticati, gli utenti non possono digitare un codice generato dal dispositivo di un altro utente. Per informazioni sui dispositivi MFA hardware supportati, consulta [Autenticazione a più fattori (MFA)](https://aws.amazon.com/iam/features/mfa/?audit=2019q1).
+ Se desideri utilizzare un dispositivo MFA fisico, ti consigliamo di utilizzare le chiavi di sicurezza come alternativa ai dispositivi TOTP hardware. Le chiavi di sicurezza non richiedono batterie, sono resistenti al phishing e supportano più utenti su un singolo dispositivo.
Puoi abilitare una passkey o una chiave di sicurezza Console di gestione AWS solo dall'API, non dall' AWS CLI API. AWS Prima di abilitare una chiave di sicurezza, è necessario disporre di un accesso fisico al dispositivo.
Per le istruzioni di configurazione di un token TOTP hardware per un utente IAM, consulta [Assegna un token TOTP hardware nel Console di gestione AWS](id_credentials_mfa_enable_physical.md).
**Nota**
**MFA basata su SMS** AWS : supporto terminato per l'abilitazione dell'autenticazione a più fattori (MFA) tramite SMS. Consigliamo ai clienti con utenti IAM che utilizzano la MFA basata su SMS di passare a uno dei seguenti metodi alternativi di autenticazione a più fattori: [passkey o chiave di sicurezza](id_credentials_mfa_enable_fido.md), [dispositivo MFA virtuale (basato su software)](id_credentials_mfa_enable_virtual.md) o [dispositivo MFA basato su hardware](id_credentials_mfa_enable_physical.md). Puoi identificare gli utenti nel tuo account con un dispositivo MFA SMS assegnato. Nella console IAM, seleziona **Utenti** dal pannello di navigazione e cerca gli utenti con l'opzione **SMS** nella colonna **MFA** della tabella.
## Suggerimenti per MFA
Per proteggere le tue AWS identità, segui questi consigli per l'autenticazione MFA.
+ Ti consigliamo di utilizzare MFA resistenti al phishing, [come passkey e chiavi di sicurezza, come](#passkeys-security-keys-for-iam-users) dispositivo MFA. Questi autenticatori basati su FIDO offrono la protezione più efficace contro attacchi come il phishing.
+ Ti consigliamo di abilitare più dispositivi MFA per gli utenti IAM del Utente root dell'account AWS tuo. Account AWS In questo modo puoi alzare il livello di sicurezza del tuo sistema Account AWS e semplificare la gestione dell'accesso a utenti con privilegi elevati, come. Utente root dell'account AWS
+ Puoi registrare fino a **otto** dispositivi MFA di qualsiasi combinazione dei [tipi di MFA attualmente supportati](https://aws.amazon.com/iam/features/mfa/) con i tuoi Utente root dell'account AWS utenti e IAM. Con più dispositivi MFA, è sufficiente un solo dispositivo MFA per accedere Console di gestione AWS o creare una sessione tramite l' AWS CLI as quell'utente. Per abilitare o disabilitare un dispositivo MFA aggiuntivo, un utente IAM deve prima autenticarsi con un dispositivo MFA esistente.
+ In caso di smarrimento, furto o inaccessibilità di un dispositivo MFA, è possibile utilizzare uno dei dispositivi MFA rimanenti per accedervi senza eseguire la Account AWS procedura di ripristino. Account AWS In caso di smarrimento o furto di un dispositivo MFA, consigliamo di dissociare il dispositivo dal principale IAM a cui era associato.
+ L'uso di più dispositivi MFAs consente ai dipendenti che si trovano in località geograficamente disperse o che lavorano in remoto di utilizzare l'MFA basata su hardware per accedere AWS senza dover coordinare lo scambio fisico di un singolo dispositivo hardware tra i dipendenti.
+ L'uso di dispositivi MFA aggiuntivi per i principali IAM consente di utilizzarne uno o più MFAs per l'uso quotidiano, mantenendo allo stesso tempo i dispositivi MFA fisici in un luogo fisico sicuro come un deposito o sicuro per il backup e la ridondanza.
**Note**
Non è possibile passare le informazioni MFA per una chiave di sicurezza o una passkey alle operazioni AWS STS API per richiedere credenziali temporanee. È possibile ottenere credenziali da utilizzare con AWS CLI e AWS SDKs quando si utilizza una chiave di sicurezza o una passkey eseguendo il comando. `aws login`
Non è possibile utilizzare AWS CLI comandi o operazioni AWS API per abilitare le chiavi di sicurezza [FIDO](id_credentials_mfa_enable_fido.md).
Non puoi utilizzare lo stesso nome per più di un utente root o dispositivo MFA IAM.
## Risorse aggiuntive
Le seguenti risorse possono rivelarsi utili per saperne di più sull’MFA.
+ Per ulteriori informazioni sull'utilizzo della tecnologia MFA per l'accesso AWS, vedere. [Accesso abilitato con MFA](console_sign-in-mfa.md)
+ Puoi sfruttare IAM Identity Center per abilitare l'accesso MFA sicuro al AWS tuo portale di accesso, alle app integrate di IAM Identity Center e al. AWS CLI Per ulteriori informazioni, consulta [Abilitare l'MFA nel Centro identità IAM](https://docs.aws.amazon.com/singlesignon/latest/userguide/mfa-getting-started.html).
# Assegna una passkey o una chiave di sicurezza nel Console di gestione AWS
Le passkey sono un tipo di [dispositivo di autenticazione a più fattori (MFA)](id_credentials_mfa.md) che puoi utilizzare per proteggere le tue risorse. AWS AWS supporta passkey sincronizzate e passkey legate al dispositivo, note anche come chiavi di sicurezza.
Le passkey sincronizzate consentono agli utenti IAM di accedere alle proprie credenziali di accesso FIDO su molti dei loro dispositivi, anche su quelli nuovi, senza dover registrare nuovamente tutti i dispositivi su ogni account. Le passkey sincronizzate includono gestori di credenziali proprietari come Google, Apple e Microsoft e gestori di credenziali di terze parti come 1Password, Dashlane e Bitwarden come secondo fattore. Puoi anche utilizzare la biometria sul dispositivo (ad esempio, TouchID, FaceID) per sbloccare il gestore di credenziali scelto per utilizzare le passkey.
In alternativa, le passkey collegate al dispositivo sono associate a una chiave di sicurezza FIDO da collegare a una porta USB del computer e quindi toccare quando richiesto per completare in modo sicuro la procedura di accesso. Se utilizzi già una chiave di sicurezza FIDO con altri servizi e questa ha una [configurazione AWS supportata](id_credentials_mfa_fido_supported_configurations.md) (ad esempio, la serie YubiKey 5 di Yubico), puoi utilizzarla anche con. AWS Altrimenti, è necessario acquistare una chiave di sicurezza FIDO se si desidera utilizzarla WebAuthn per l' AWS MFA in. Inoltre, le chiavi di sicurezza FIDO possono supportare più utenti IAM o root sullo stesso dispositivo, migliorandone l'utilità per la sicurezza degli account. Per specifiche e informazioni sull'acquisto per entrambi i tipi di dispositivo, consulta [Multi-Factor Authentication](https://aws.amazon.com/iam/details/mfa/).
Puoi registrare fino a **otto** dispositivi MFA di qualsiasi combinazione dei [tipi di MFA attualmente supportati](https://aws.amazon.com/iam/features/mfa/) con i tuoi Utente root dell'account AWS utenti e IAM. Con più dispositivi MFA, è sufficiente un solo dispositivo MFA per accedere Console di gestione AWS o creare una sessione tramite l' AWS CLI as quell'utente. Consigliamo di registrare più dispositivi MFA. Ad esempio, è possibile registrare un autenticatore integrato e anche una chiave di sicurezza da conservare in un luogo fisicamente sicuro. Se è impossibile utilizzare l'autenticatore integrato, si può utilizzare la chiave di sicurezza registrata. Per le applicazioni di autenticazione, consigliamo inoltre di abilitare le funzionalità di backup o sincronizzazione su cloud in tali app per evitare di perdere l'accesso all'account in caso di smarrimento o guasto del dispositivo che dispone delle app di autenticazione.
**Nota**
Consigliamo di richiedere agli utenti di utilizzare credenziali temporanee per l'accesso a AWS. I tuoi utenti possono unirsi AWS a un provider di identità dove si autenticano con le credenziali aziendali e le configurazioni MFA. Per gestire l'accesso AWS e le applicazioni aziendali, ti consigliamo di utilizzare IAM Identity Center. Per ulteriori informazioni, consulta la [Guida per l'utente del Centro identità IAM](https://docs.aws.amazon.com/singlesignon/latest/userguide/what-is.html).
**Topics**
+ [Autorizzazioni richieste](#enable-fido-mfa-for-iam-user-permissions-required)
+ [Abilitare una passkey o una chiave di sicurezza per il proprio utente IAM (console)](#enable-fido-mfa-for-own-iam-user)
+ [Abilitare una passkey o una chiave di sicurezza per un altro utente IAM (console)](#enable-fido-mfa-for-iam-user)
+ [Sostituire una passkey o una chiave di sicurezza](#replace-fido-mfa)
+ [Configurazioni supportate per l'uso delle passkey e delle chiavi di sicurezza](id_credentials_mfa_fido_supported_configurations.md)
## Autorizzazioni richieste
Per gestire una passkey FIDO per il proprio utente IAM proteggendo le operazioni sensibili correlate all'MFA, devi disporre delle autorizzazioni concesse dalla policy seguente:
**Nota**
I valori dell'ARN sono valori statici e non sono un indicatore del protocollo utilizzato per registrare l'autenticatore. U2F è obsoleto, quindi tutte le nuove implementazioni lo utilizzano. WebAuthn
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "AllowManageOwnUserMFA",
"Effect": "Allow",
"Action": [
"iam:DeactivateMFADevice",
"iam:EnableMFADevice",
"iam:GetUser",
"iam:ListMFADevices",
"iam:ResyncMFADevice"
],
"Resource": "arn:aws:iam::*:user/${aws:username}"
},
{
"Sid": "DenyAllExceptListedIfNoMFA",
"Effect": "Deny",
"NotAction": [
"iam:EnableMFADevice",
"iam:GetUser",
"iam:ListMFADevices",
"iam:ResyncMFADevice"
],
"Resource": "*",
"Condition": {
"BoolIfExists": {
"aws:MultiFactorAuthPresent": "false"
}
}
}
]
}
```
------
## Abilitare una passkey o una chiave di sicurezza per il proprio utente IAM (console)
Puoi abilitare una passkey o una chiave di sicurezza per il tuo utente IAM Console di gestione AWS solo dall'API o, non dall'API. AWS CLI AWS Prima di abilitare una chiave di sicurezza, è necessario disporre di un accesso fisico al dispositivo.
**Per abilitare una passkey o una chiave di sicurezza per il proprio utente IAM (console)**
1. Usa l' AWS ID o l'alias dell'account, il nome utente IAM e la password per accedere alla console [IAM](https://console.aws.amazon.com/iam).
**Nota**
Per comodità, la pagina di AWS accesso utilizza un cookie del browser per ricordare il nome utente IAM e le informazioni sull'account. Se in precedenza è stato eseguito l'accesso con un utente diverso, scegli il link **Accedi a un account differente** nella parte inferiore della pagina per ritornare alla pagina principale di accesso. Da lì, puoi digitare l'ID o l'alias dell'account per essere reindirizzato alla pagina di accesso utente IAM relativa al tuo AWS account.
Per ottenere il tuo Account AWS ID, contatta l'amministratore.
1. Seleziona il nome utente in alto a destra nella barra di navigazione e scegli **Security credentials** (Credenziali di sicurezza).
![\[Console di gestione AWS Link alle credenziali di sicurezza\]](http://docs.aws.amazon.com/it_it/IAM/latest/UserGuide/images/security-credentials-user.shared.console.png)
1. Nella pagina dell'utente IAM selezionato, scegli la scheda **Credenziali di sicurezza**.
1. Nella sezione **Autenticazione a più fattori (MFA)**, scegliere **Assegna dispositivo MFA**.
1. Nella pagina **Nome del dispositivo MFA**, inserisci un **nome per il dispositivo**, scegli **Passkey o chiave di sicurezza**, quindi scegli **Avanti**.
1. In **Configura dispositivo**, configura la tua passkey. Crea una passkey con dati biometrici come il viso o l'impronta digitale, con un pin del dispositivo oppure inserendo la chiave di sicurezza FIDO nella porta USB del computer e toccandola.
1. Segui le istruzioni sul tuo browser e poi scegli **Continua**.
Ora hai registrato la tua passkey o la chiave di sicurezza per utilizzarla con. AWS Per informazioni sull'utilizzo della tecnologia MFA con Console di gestione AWS, vedere. [Accesso abilitato con MFA](console_sign-in-mfa.md)
## Abilitare una passkey o una chiave di sicurezza per un altro utente IAM (console)
Puoi abilitare una passkey o una sicurezza per un altro utente IAM Console di gestione AWS solo dall'API AWS CLI o AWS , non dall'API.
**Per abilitare una passkey o una chiave di sicurezza per un altro utente IAM (console)**
1. Accedi Console di gestione AWS e apri la console IAM all'indirizzo [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/).
1. Nel pannello di navigazione, seleziona **Utenti**.
1. In **Utenti**, scegli il nome dell'utente per il quale desideri abilitare l'MFA.
1. Nella pagina dell'utente IAM selezionato, scegli la scheda **Credenziali di sicurezza**.
1. Nella sezione **Autenticazione a più fattori (MFA)**, scegliere **Assegna dispositivo MFA**.
1. Nella pagina **Nome del dispositivo MFA**, inserisci un **nome per il dispositivo**, scegli **Passkey o chiave di sicurezza**, quindi scegli **Avanti**.
1. In **Configura dispositivo**, configura la tua passkey. Crea una passkey con dati biometrici come il viso o l'impronta digitale, con un pin del dispositivo oppure inserendo la chiave di sicurezza FIDO nella porta USB del computer e toccandola.
1. Segui le istruzioni sul tuo browser e poi scegli **Continua**.
Ora hai registrato una passkey o una chiave di sicurezza per un altro utente IAM da utilizzare con AWS. Per informazioni sull'utilizzo della tecnologia MFA con Console di gestione AWS, vedere. [Accesso abilitato con MFA](console_sign-in-mfa.md)
## Sostituire una passkey o una chiave di sicurezza
Puoi avere fino a otto dispositivi MFA di qualsiasi combinazione dei [tipi di MFA attualmente supportati](https://aws.amazon.com/iam/features/mfa/) assegnati a un utente alla volta con i tuoi Utente root dell'account AWS utenti e IAM. Se l'utente dovesse perdere l'autenticatore FIDO o in caso di sostituzione, dovrai prima disattivare il vecchio autenticatore FIDO. e quindi aggiungere un nuovo dispositivo MFA.
+ Per disattivare il dispositivo correntemente associato a un utente IAM, consulta [Disattivare un dispositivo MFA](id_credentials_mfa_disable.md).
+ Per aggiungere una nuova chiave di sicurezza FIDO per un utente IAM, consulta la sezione [Abilitare una passkey o una chiave di sicurezza per il proprio utente IAM (console)](#enable-fido-mfa-for-own-iam-user).
Se non hai accesso a una nuova passkey o a una chiave di sicurezza, puoi abilitare un nuovo dispositivo MFA virtuale o un token TOTP hardware. Per istruzioni, consulta uno dei seguenti articoli:
+ [Assegna un dispositivo MFA virtuale nel Console di gestione AWS](id_credentials_mfa_enable_virtual.md)
+ [Assegna un token TOTP hardware nel Console di gestione AWS](id_credentials_mfa_enable_physical.md)
# Configurazioni supportate per l'uso delle passkey e delle chiavi di sicurezza
Puoi utilizzare passkey FIDO2 legate al dispositivo, note anche come chiavi di sicurezza, come metodo di autenticazione a più fattori (MFA) con IAM utilizzando le configurazioni attualmente supportate. Questi includono i FIDO2 dispositivi supportati da IAM e i browser che lo supportano. FIDO2 Prima di registrare il FIDO2 dispositivo, verifica di utilizzare la versione più recente del browser e del sistema operativo (OS). Le funzionalità possono comportarsi in modo diverso tra browser, autenticatori e client del sistema operativo. Se la registrazione del dispositivo non riesce su un browser, puoi provare a registrarti con un altro browser.
FIDO2 è uno standard di autenticazione aperto e un'estensione di FIDO U2F, che offre lo stesso elevato livello di sicurezza basato sulla crittografia a chiave pubblica. FIDO2 è costituito dalla specifica di autenticazione Web (WebAuthn API) del W3C e dal FIDO Alliance Client-to-Authenticator Protocol (CTAP), un protocollo a livello di applicazione. CTAP consente la comunicazione tra client o piattaforma, come un browser o un sistema operativo, con un autenticatore esterno. Quando abiliti un autenticatore certificato FIDO AWS, la chiave di sicurezza crea una nuova coppia di chiavi da utilizzare solo con. AWS In primo luogo, è necessario immettere le credenziali. Quando richiesto, tocca la chiave di sicurezza, che risponde alla richiesta di autenticazione emessa da AWS. [Per saperne di più sullo FIDO2 standard, consulta il Progetto. FIDO2](https://en.wikipedia.org/wiki/FIDO2_Project)
## FIDO2 dispositivi supportati da AWS
IAM supporta i dispositivi di FIDO2 sicurezza che si connettono ai tuoi dispositivi tramite USB o NFC. Bluetooth IAM supporta anche gli autenticatori di piattaforma come TouchID o FaceID. IAM non supporta la registrazione locale delle passkey per Windows Hello. Per creare e utilizzare le passkey, gli utenti Windows devono utilizzare l'[autenticazione tra dispositivi](https://passkeys.dev/docs/reference/terms/#cross-device-authentication-cda), che prevede l'utilizzo di una passkey di un dispositivo, ad esempio un dispositivo mobile, o di una chiave di sicurezza hardware per accedere su un altro dispositivo, ad esempio un laptop.
**Nota**
AWS richiede l'accesso alla porta USB fisica del computer per verificare il FIDO2 dispositivo. Le chiavi di sicurezza non funzioneranno con una macchina virtuale, una connessione remota o la modalità in incognito di un browser.
FIDO Alliance mantiene un elenco di tutti i [FIDO2prodotti](https://fidoalliance.org/certification/fido-certified-products/) compatibili con le specifiche FIDO.
## Browser che supportano FIDO2
La disponibilità dei dispositivi di FIDO2 sicurezza che funzionano in un browser Web dipende dalla combinazione di browser e sistema operativo. Al momento i seguenti browser supportano l'uso delle chiavi di sicurezza:
****
| Browser | macOS 10.15\$1 | Windows 10 | Linux | iOS 14.5\$1 | Android 7\$1 |
| --- | --- | --- | --- | --- | --- |
| Chrome | Sì | Sì | Sì | Sì | No |
| Safari | Sì | No | No | Sì | No |
| Edge | Sì | Sì | No | Sì | No |
| Firefox | Sì | Sì | No | Sì | No |
**Nota**
La maggior parte delle versioni di Firefox attualmente FIDO2 supportate non abilitano il supporto per impostazione predefinita. Per istruzioni su come abilitare FIDO2 il supporto in Firefox, consulta[Risoluzione dei problemi relativi alle passkey e alle chiavi di sicurezza FIDO](troubleshoot_mfa-fido.md).
Firefox su macOS potrebbe non supportare completamente i flussi di lavoro di autenticazione tra dispositivi per le passkey. È possibile che venga richiesto di toccare una chiave di sicurezza invece di procedere con l'autenticazione tra dispositivi. Per accedere con passkey su macOS, consigliamo di utilizzare un browser diverso, come Chrome o Safari.
Per ulteriori informazioni sul supporto dei browser per un dispositivo FIDO2 certificato, ad esempio YubiKey, vedi [Supporto del sistema operativo e del browser web per FIDO2 U2F](https://support.yubico.com/hc/en-us/articles/360016615020-Operating-system-and-web-browser-support-for-FIDO2-and-U2F).
### Plug-in del browser
AWS supporta solo i browser che supportano nativamente. FIDO2 AWS non supporta l'utilizzo di plugin per aggiungere il supporto al FIDO2 browser. Alcuni plugin del browser sono incompatibili con lo FIDO2 standard e possono causare risultati imprevisti con FIDO2 le chiavi di sicurezza.
Per informazioni su come disabilitare i plug-in del browser e altri suggerimenti per la risoluzione dei problemi, consulta [Non riesco ad abilitare la chiave di sicurezza FIDO](troubleshoot_mfa-fido.md#troubleshoot_mfa-fido-cant-enable).
## Certificazioni dei dispositivi
Acquisiamo e assegniamo le certificazioni relative ai dispositivi, come la convalida FIPS e il livello di certificazione FIDO, solo durante la registrazione di una chiave di sicurezza. La certificazione del dispositivo viene recuperata dal [FIDO Alliance Metadata Service (MDS)](https://fidoalliance.org/metadata/). Se lo stato o il livello di certificazione della chiave di sicurezza cambia, ciò non si rifletterà automaticamente nei tag del dispositivo. Per aggiornare le informazioni di certificazione di un dispositivo, è necessario registrarlo nuovamente per recuperare le informazioni di certificazione aggiornate.
AWS fornisce i seguenti tipi di certificazione come chiavi di condizione durante la registrazione del dispositivo, ottenute da FIDO MDS: livelli di certificazione FIDO, FIPS-140-2 e FIPS-140-3. Hai la possibilità di specificare la registrazione di autenticatori specifici nelle loro policy IAM, in base al tipo e al livello di certificazione che preferisci. Per ulteriori informazioni, consulta le policy seguenti.
### Policy di esempio per le certificazioni dei dispositivi
I seguenti casi d'uso mostrano policy di esempio che consentono di registrare i dispositivi MFA con certificazioni FIPS.
**Topics**
+ [Caso d'uso 1: consentire la registrazione di dispositivi con certificazioni FIPS-140-2 L2](#id_credentials_mfa_fido_certifications_policies_use_case_1)
+ [Caso d'uso 2: consentire la registrazione di dispositivi con certificazioni FIPS-140-2 L2 o FIDO L1](#id_credentials_mfa_fido_certifications_policies_use_case_2)
+ [Caso d'uso 3: consentire la registrazione di dispositivi con certificazioni FIPS-140-2 L2 o FIPS-140-3 L2](#id_credentials_mfa_fido_certifications_policies_use_case_3)
+ [Caso d'uso 4: consenti la registrazione di dispositivi con certificazione FIPS-140-2 L2 e che supportano altri tipi di autenticazione a più fattori, come autenticatori virtuali e hardware TOTP](#id_credentials_mfa_fido_certifications_policies_use_case_4)
#### Caso d'uso 1: consentire la registrazione di dispositivi con certificazioni FIPS-140-2 L2
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [{
"Effect": "Allow",
"Action": "iam:EnableMFADevice",
"Resource": "*",
"Condition": {
"StringEquals": {
"iam:RegisterSecurityKey" : "Create"
}
}
},
{
"Effect": "Allow",
"Action": "iam:EnableMFADevice",
"Resource": "*",
"Condition": {
"StringEquals": {
"iam:RegisterSecurityKey" : "Activate",
"iam:FIDO-FIPS-140-2-certification": "L2"
}
}
}
]
}
```
------
#### Caso d'uso 2: consentire la registrazione di dispositivi con certificazioni FIPS-140-2 L2 o FIDO L1
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [{
"Effect": "Allow",
"Action": "iam:EnableMFADevice",
"Resource": "*",
"Condition": {
"StringEquals": {
"iam:RegisterSecurityKey" : "Create"
}
}
},
{
"Effect": "Allow",
"Action": "iam:EnableMFADevice",
"Resource": "*",
"Condition": {
"StringEquals": {
"iam:RegisterSecurityKey" : "Activate",
"iam:FIDO-FIPS-140-2-certification": "L2",
"iam:FIDO-certification": "L1"
}
}
}
]
}
```
------
#### Caso d'uso 3: consentire la registrazione di dispositivi con certificazioni FIPS-140-2 L2 o FIPS-140-3 L2
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [{
"Effect": "Allow",
"Action": "iam:EnableMFADevice",
"Resource": "*",
"Condition": {
"StringEquals": {
"iam:RegisterSecurityKey" : "Create"
}
}
},
{
"Effect": "Allow",
"Action": "iam:EnableMFADevice",
"Resource": "*",
"Condition": {
"StringEquals": {
"iam:RegisterSecurityKey" : "Activate",
"iam:FIDO-FIPS-140-2-certification": "L2"
}
}
},
{
"Effect": "Allow",
"Action": "iam:EnableMFADevice",
"Resource": "*",
"Condition": {
"StringEquals": {
"iam:RegisterSecurityKey" : "Activate",
"iam:FIDO-FIPS-140-3-certification": "L2"
}
}
}
]
}
```
------
#### Caso d'uso 4: consenti la registrazione di dispositivi con certificazione FIPS-140-2 L2 e che supportano altri tipi di autenticazione a più fattori, come autenticatori virtuali e hardware TOTP
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "iam:EnableMFADevice",
"Resource": "*",
"Condition": {
"StringEquals": {
"iam:RegisterSecurityKey": "Create"
}
}
},
{
"Effect": "Allow",
"Action": "iam:EnableMFADevice",
"Resource": "*",
"Condition": {
"StringEquals": {
"iam:RegisterSecurityKey": "Activate",
"iam:FIDO-FIPS-140-2-certification": "L2"
}
}
},
{
"Effect": "Allow",
"Action": "iam:EnableMFADevice",
"Resource": "*",
"Condition": {
"Null": {
"iam:RegisterSecurityKey": "true"
}
}
}
]
}
```
------
## AWS CLI e API AWS
AWS supporta l'utilizzo di chiavi di accesso e chiavi di sicurezza solo in. Console di gestione AWS L'utilizzo delle passkey e delle chiavi di sicurezza per MFA non è supportato nella [AWS CLI](https://docs.aws.amazon.com/cli/latest/userguide/) e nell'[API AWS](https://aws.amazon.com/tools/) o per l'accesso alle [operazioni API protette da MFA](id_credentials_mfa_configure-api-require.md).
## Risorse aggiuntive
+ Per ulteriori informazioni sull'utilizzo delle chiavi di accesso e delle chiavi di sicurezza in AWS, vedere. [Assegna una passkey o una chiave di sicurezza nel Console di gestione AWS](id_credentials_mfa_enable_fido.md)
+ Per informazioni sulla risoluzione dei problemi relativi alle passkey e alle chiavi di sicurezza in AWS, vedere. [Risoluzione dei problemi relativi alle passkey e alle chiavi di sicurezza FIDO](troubleshoot_mfa-fido.md)
+ Per informazioni generali sul settore dell' FIDO2 assistenza, consulta [FIDO2 Project](https://en.wikipedia.org/wiki/FIDO2_Project).
# Assegna un dispositivo MFA virtuale nel Console di gestione AWS
**Importante**
AWS consiglia di utilizzare una passkey o una chiave di sicurezza per l'MFA AWS, ove possibile. Per ulteriori informazioni, consulta [Assegna una passkey o una chiave di sicurezza nel Console di gestione AWS](id_credentials_mfa_enable_fido.md).
Puoi utilizzare un telefono o un altro dispositivo come dispositivo di autenticazione a più fattori (MFA) virtuale. A tale scopo, installa un'app mobile conforme a [RFC 6238, un algoritmo TOTP (password monouso temporanea) basato su standard](https://datatracker.ietf.org/doc/html/rfc6238). Queste app generano un codice di autenticazione a sei cifre. Poiché gli autenticatori possono funzionare su dispositivi mobili non protetti e i codici potrebbero essere potenzialmente condivisi con parti non autorizzate, l'MFA basata su TOTP non offre lo stesso livello di sicurezza delle opzioni resistenti al phishing come chiavi di sicurezza e passkey. [FIDO2](https://en.wikipedia.org/wiki/FIDO_Alliance#FIDO2) Ti consigliamo di utilizzare passkey o chiavi di sicurezza per l'MFA per la massima protezione da attacchi come il phishing.
Se non sei ancora in grado di utilizzare passkey o chiavi di sicurezza, ti consigliamo di utilizzare un dispositivo MFA virtuale come misura provvisoria in attesa dell'approvazione dell'acquisto di hardware o dell'arrivo dell'hardware.
La maggior parte delle app MFA virtuali supporta la creazione di più dispositivi virtuali, consentendoti di utilizzare la stessa app per più utenti Account AWS . Puoi registrare fino a **otto** dispositivi MFA di qualsiasi combinazione di [tipi MFA](https://aws.amazon.com/iam/features/mfa/) con i tuoi Utente root dell'account AWS utenti e quelli di IAM. È necessario un solo dispositivo MFA per accedere Console di gestione AWS o creare una sessione tramite. AWS CLI Consigliamo di registrare più dispositivi MFA. Per le applicazioni di autenticazione, consigliamo inoltre di abilitare le funzionalità di backup o sincronizzazione su cloud per evitare di perdere l'accesso all'account in caso di smarrimento o guasto del dispositivo che dispone delle app di autenticazione.
AWS richiede un'app MFA virtuale che produca una OTP a sei cifre. Per un elenco delle app MFA virtuali che è possibile utilizzare, consulta [Multi-Factor Authentication](https://aws.amazon.com/iam/features/mfa/?audit=2019q1).
**Topics**
+ [Autorizzazioni richieste](#mfa_enable_virtual_permissions-required)
+ [Abilitazione di un dispositivo MFA virtuale per un utente IAM (console)](#enable-virt-mfa-for-iam-user)
+ [Sostituzione di un dispositivo MFA virtuale](#replace-virt-mfa)
## Autorizzazioni richieste
Per gestire i dispositivi MFA virtuali per l'utente IAM, è necessario disporre delle autorizzazioni dalla policy seguente: [AWS: consente agli utenti IAM autenticati con MFA di gestire il proprio dispositivo MFA nella pagina Credenziali di sicurezza](reference_policies_examples_aws_my-sec-creds-self-manage-mfa-only.md).
## Abilitazione di un dispositivo MFA virtuale per un utente IAM (console)
Puoi utilizzare IAM Console di gestione AWS per abilitare e gestire un dispositivo MFA virtuale per un utente IAM nel tuo account. È possibile collegare tag alle risorse IAM, inclusi i dispositivi MFA virtuali, per identificare, organizzare e controllare l'accesso a tali risorse. È possibile etichettare i dispositivi MFA virtuali solo quando si utilizza l'API AWS CLI o AWS . Per abilitare e gestire un dispositivo MFA utilizzando l' AWS API AWS CLI or, vedere. [Assegna dispositivi MFA nell' AWS CLI API o AWS](id_credentials_mfa_enable_cliapi.md) Per ulteriori informazioni sul tagging delle risorse IAM, consulta [Tag per AWS Identity and Access Management le risorse](id_tags.md).
**Nota**
È necessario avere l'accesso fisico all'hardware che ospiterà il dispositivo MFA virtuale dell'utente per configurare MFA. Ad esempio, è possibile configurare MFA per un utente che utilizzerà un dispositivo MFA virtuale in esecuzione su uno smartphone. In questo caso, è necessario disporre di uno smartphone per completare la procedura guidata. Per questo motivo, è possibile consentire agli utenti di configurare e gestire i propri dispositivi MFA virtuali. In questo caso è necessario concedere agli utenti le autorizzazioni per eseguire le necessarie operazioni IAM. Per ulteriori informazioni e per un esempio di una policy IAM che concede queste autorizzazioni, consulta [Tutorial IAM: consentire agli utenti di gestire le proprie credenziali e impostazioni MFA](tutorial_users-self-manage-mfa-and-creds.md) e la policy di esempio [AWS: consente agli utenti IAM autenticati con MFA di gestire il proprio dispositivo MFA nella pagina Credenziali di sicurezza](reference_policies_examples_aws_my-sec-creds-self-manage-mfa-only.md).
**Come abilitare un dispositivo MFA virtuale per un utente IAM (console)**
1. Accedi Console di gestione AWS e apri la console IAM all'indirizzo [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/).
1. Nel pannello di navigazione, seleziona **Utenti**.
1. Nell'elenco degli **Utenti**, seleziona il nome dell'utente IAM.
1. Seleziona la scheda **Credenziali di sicurezza**. Nella sezione **Autenticazione a più fattori (MFA)**, scegliere **Assegna dispositivo MFA**.
1. Nella procedura guidata, digita un **nome per il dispositivo**, scegli l'**app Authenticator** e quindi scegli **Next** (Avanti).
IAM genera e visualizza le informazioni di configurazione per il dispositivo MFA virtuale, tra cui il codice grafico QR. Il grafico è una rappresentazione della "chiave di configurazione segreta" disponibile per l'inserimento manuale sui dispositivi che non supportano i codici QR.
1. Aprire l'app MFA virtuale. Per un elenco delle app che è possibile utilizzare per ospitare i dispositivi MFA virtuali, consultare la pagina [Autenticazione a più fattori](https://aws.amazon.com/iam/details/mfa/).
Se l'app MFA virtuale supporta più account o dispositivi MFA virtuali, selezionare l'opzione che consente di creare un nuovo account o dispositivo MFA virtuale.
1. Determinare se l'app MFA supporta i codici QR e procedere in uno dei seguenti modi:
+ Nella procedura guidata, scegliere **Mostra codice QR** ed eseguire la scansione del codice QR tramite l'app. Potrebbe trattarsi dell'icona della fotocamera o dell'opzione **Scannerizza codice** che utilizza la fotocamera del dispositivo per eseguire la scansione del codice.
+ Nella procedura guidata, scegli **Show secret key** (Mostra chiave segreta) e digitare la chiave segreta nell'app MFA.
Al termine, il dispositivo MFA virtuale avvia la generazione di password una tantum.
1. Nella pagina **Set up device** (Configura il dispositivo), nella casella **MFA code 1** (Codice MFA 1), digita la password monouso correntemente visualizzata nel dispositivo MFA virtuale. Attendere fino a un massimo di 30 secondi prima che il dispositivo generi una nuova password una tantum. Quindi, digitare la seconda password monouso nella casella **Codice MFA 2**. Scegli **Aggiungi MFA**.
**Importante**
Inviare la richiesta immediatamente dopo la generazione dei codici. Se si generano i codici e si attende troppo a lungo per inviare la richiesta, il dispositivo MFA si associa correttamente con l'utente ma il dispositivo MFA non viene sincronizzato. Ciò accade perché le password monouso temporanee (TOTP) scadono dopo un breve periodo di tempo. Se ciò accade, è possibile [sincronizzare nuovamente il dispositivo](id_credentials_mfa_sync.md).
Il dispositivo MFA virtuale è ora pronto per l'uso con. AWS Per informazioni sull'utilizzo della tecnologia MFA con Console di gestione AWS, vedere. [Accesso abilitato con MFA](console_sign-in-mfa.md)
**Nota**
I dispositivi MFA virtuali non assegnati nel Account AWS tuo vengono eliminati quando aggiungi nuovi dispositivi MFA virtuali tramite o durante Console di gestione AWS la procedura di accesso. I dispositivi MFA virtuali non assegnati sono dispositivi presenti nell’account ma non utilizzati dall’utente root dell’account o dagli utenti IAM per il processo di accesso. Vengono eliminati in modo da poter aggiungere nuovi dispositivi MFA virtuali al tuo account. Questo consente anche di riutilizzare i nomi dei dispositivi.
Per visualizzare i dispositivi MFA virtuali non assegnati nel tuo account, puoi utilizzare [list-virtual-mfa-devices](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/iam/list-virtual-mfa-devices.html) AWS CLI il comando [o](https://docs.aws.amazon.com/IAM/latest/APIReference/API_ListVirtualMFADevices.html) la chiamata API.
Per disattivare un dispositivo MFA virtuale, puoi utilizzare [deactivate-mfa-device](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/iam/deactivate-mfa-device.html) AWS CLI il comando [o](https://docs.aws.amazon.com/IAM/latest/APIReference/API_DeactivateMFADevice.html) la chiamata API. Verrà annullata l’assegnazione del dispositivo.
Per collegare un dispositivo MFA virtuale non assegnato all' Account AWS utente root o agli utenti IAM, è necessario il codice di autenticazione generato dal dispositivo insieme al comando [o [enable-mfa-device](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/iam/enable-mfa-device.html)AWS CLI](https://docs.aws.amazon.com/IAM/latest/APIReference/API_EnableMFADevice.html)alla chiamata API.
## Sostituzione di un dispositivo MFA virtuale
Tu Utente root dell'account AWS e gli utenti IAM potete registrare fino a **otto** dispositivi MFA di qualsiasi combinazione di tipi di MFA. Se l'utente dovesse perdere il proprio dispositivo o in caso di sostituzione, dovrai disattivare il vecchio dispositivo. e quindi aggiungere quello nuovo.
+ Per disattivare il dispositivo correntemente associato a un altro utente IAM, consulta [Disattivare un dispositivo MFA](id_credentials_mfa_disable.md).
+ Per aggiungere un dispositivo MFA virtuale sostitutivo per un altro utente IAM, segui la procedura [Abilitazione di un dispositivo MFA virtuale per un utente IAM (console)](#enable-virt-mfa-for-iam-user) descritta sopra.
+ Per aggiungere un dispositivo MFA virtuale sostitutivo per Utente root dell'account AWS, segui i passaggi della procedura. [Abilitare un dispositivo MFA virtuale per l'utente root (console)](enable-virt-mfa-for-root.md)
# Assegna un token TOTP hardware nel Console di gestione AWS
**Importante**
AWS consiglia di utilizzare una passkey o una chiave di sicurezza per l'MFA AWS, ove possibile. Per ulteriori informazioni, consulta [Assegna una passkey o una chiave di sicurezza nel Console di gestione AWS](id_credentials_mfa_enable_fido.md).
Un dispositivo MFA hardware genera un codice numerico di sei cifre basato su un algoritmo di password monouso sincronizzato nel tempo. L'utente deve immettere un codice valido dal dispositivo quando richiesto durante la procedura di accesso. Ogni dispositivo MFA assegnato a un utente deve essere univoco; un utente non può immettere un codice dal dispositivo di un altro utente per effettuare l'autenticazione. I dispositivi MFA non possono essere condivisi tra account o utenti.
I dispositivi MFA hardware e le [chiavi di sicurezza FIDO](id_credentials_mfa_enable_fido.md) sono entrambi dispositivi fisici che si acquistano. I dispositivi hardware MFA generano codici TOTP per l'autenticazione quando accedi a. AWS Si basano sulle batterie, che potrebbero richiedere la sostituzione e la risincronizzazione nel tempo. AWS Le chiavi di sicurezza FIDO, che utilizzano la crittografia a chiave pubblica, non richiedono batterie e offrono un processo di autenticazione senza interruzioni. Consigliamo di utilizzare le chiavi di sicurezza FIDO per la loro resistenza al phishing e perché forniscono un'alternativa più sicura ai dispositivi TOTP. Inoltre, le chiavi di sicurezza FIDO possono supportare più utenti IAM o root sullo stesso dispositivo, migliorandone l'utilità per la sicurezza degli account. Per specifiche e informazioni sull'acquisto per entrambi i tipi di dispositivo, consulta [Multi-Factor Authentication](https://aws.amazon.com/iam/details/mfa/).
Puoi abilitare un token TOTP hardware per un utente IAM dalla Console di gestione AWS riga di comando o dall'API IAM. Per abilitare un dispositivo MFA per il tuo Utente root dell'account AWS, consulta. [Abilitazione di un token TOTP hardware per l'utente root dell' (console)](enable-hw-mfa-for-root.md)
Puoi registrare fino a **otto** dispositivi MFA di qualsiasi combinazione dei [tipi di MFA attualmente supportati](https://aws.amazon.com/iam/features/mfa/) con i tuoi Utente root dell'account AWS utenti e IAM. Con più dispositivi MFA, è sufficiente un solo dispositivo MFA per accedere Console di gestione AWS o creare una sessione tramite l' AWS CLI as quell'utente.
**Importante**
Ti consigliamo di abilitare più dispositivi MFA per gli utenti in modo da garantire l'accesso continuo al tuo account in caso di smarrimento del dispositivo MFA o se diventa inaccessibile.
**Nota**
Per abilitare il dispositivo MFA dalla riga di comando, utilizzare [https://docs.aws.amazon.com/cli/latest/reference/iam/enable-mfa-device.html](https://docs.aws.amazon.com/cli/latest/reference/iam/enable-mfa-device.html). Per abilitare il dispositivo MFA con l'API IAM, utilizza l'operazione [https://docs.aws.amazon.com/IAM/latest/APIReference/API_EnableMFADevice.html](https://docs.aws.amazon.com/IAM/latest/APIReference/API_EnableMFADevice.html).
**Topics**
+ [Autorizzazioni richieste](#enable-hw-mfa-for-iam-user-permissions-required)
+ [Abilitazione di un dispositivo MFA hardware per un utente IAM (console)](#enable-hw-mfa-for-own-iam-user)
+ [Abilitazione di un dispositivo MFA hardware per un altro utente IAM (console)](#enable-hw-mfa-for-iam-user)
+ [Sostituzione di un dispositivo MFA fisico](#replace-phys-mfa)
## Autorizzazioni richieste
Per gestire un dispositivo MFA hardware per il proprio utente IAM proteggendo le operazioni sensibili correlate a MFA, è necessario disporre delle autorizzazioni dalla policy seguente:
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "AllowManageOwnUserMFA",
"Effect": "Allow",
"Action": [
"iam:DeactivateMFADevice",
"iam:EnableMFADevice",
"iam:GetUser",
"iam:ListMFADevices",
"iam:ResyncMFADevice"
],
"Resource": "arn:aws:iam::*:user/${aws:username}"
},
{
"Sid": "DenyAllExceptListedIfNoMFA",
"Effect": "Deny",
"NotAction": [
"iam:EnableMFADevice",
"iam:GetUser",
"iam:ListMFADevices",
"iam:ResyncMFADevice"
],
"Resource": "arn:aws:iam::*:user/${aws:username}",
"Condition": {
"BoolIfExists": {
"aws:MultiFactorAuthPresent": "false"
}
}
}
]
}
```
------
## Abilitazione di un dispositivo MFA hardware per un utente IAM (console)
È possibile abilitare il proprio dispositivo MFA hardware tramite Console di gestione AWS.
**Nota**
Prima di abilitare un dispositivo MFA hardware è necessario disporre di accesso fisico al dispositivo.
**Come abilitare un dispositivo MFA hardware per un utente IAM (console)**
1. [Utilizza l'ID o l'alias dell'account, il nome utente IAM e la password per accedere alla console IAM. AWS](https://console.aws.amazon.com/iam)
**Nota**
Per comodità, la pagina di AWS accesso utilizza un cookie del browser per ricordare il nome utente IAM e le informazioni sull'account. Se in precedenza è stato eseguito l'accesso con un utente diverso, scegli il link **Accedi a un account differente** nella parte inferiore della pagina per ritornare alla pagina principale di accesso. Da lì, puoi digitare l'ID o l'alias dell'account per essere reindirizzato alla pagina di accesso utente IAM relativa al tuo AWS account.
Per ottenere il tuo Account AWS ID, contatta l'amministratore.
1. Seleziona il nome utente in alto a destra nella barra di navigazione e scegli **Security credentials** (Credenziali di sicurezza).
![\[Console di gestione AWS Link alle credenziali di sicurezza\]](http://docs.aws.amazon.com/it_it/IAM/latest/UserGuide/images/security-credentials-user.shared.console.png)
1. Nella scheda **Credenziali AWS IAM**, nella sezione **Autenticazione a più fattori**, seleziona **Gestione dispositivo MFA**.
1. Nella procedura guidata, digitate il **nome del dispositivo**, scegliete il **token Hardware TOTP** e quindi scegliete **Avanti**.
1. Digitare il numero di serie del dispositivo. In genere, il numero di serie è indicato sulla parte posteriore del dispositivo.
1. Nella casella **MFA code 1 (Codice MFA 1)** digitare il numero di sei cifre visualizzato nel dispositivo MFA. Per visualizzare il numero, potrebbe essere necessario premere il pulsante sul lato anteriore del dispositivo.
![\[Pannello di controllo IAM - Dispositivo MFA\]](http://docs.aws.amazon.com/it_it/IAM/latest/UserGuide/images/MFADevice.png)
1. Attendere 30 secondi per consentire al dispositivo di aggiornare il codice, quindi digitare il nuovo numero a sei cifre nella casella **MFA code 2 (Codice MFA 2)**. Per visualizzare il secondo numero, potrebbe essere necessario premere nuovamente il pulsante sul lato anteriore del dispositivo.
1. Scegli **Aggiungi MFA**.
**Importante**
La richiesta deve essere inviata immediatamente dopo la generazione dei codici di autenticazione. Se dopo avere generato i codici attendi troppo a lungo prima di inviare la richiesta, il dispositivo MFA si associerà correttamente con l'utente, ma perderà la sincronizzazione. Ciò accade perché le password monouso temporanee (TOTP) scadono dopo un breve periodo di tempo. Se ciò accade, è possibile [sincronizzare nuovamente il dispositivo](id_credentials_mfa_sync.md).
Il dispositivo è pronto per l'uso con AWS. Per ulteriori informazioni sull'utilizzo di MFA con la Console di gestione AWS, consulta [Accesso abilitato con MFA](console_sign-in-mfa.md).
## Abilitazione di un dispositivo MFA hardware per un altro utente IAM (console)
Puoi abilitare un dispositivo MFA hardware per un altro utente IAM dalla Console di gestione AWS.
**Come abilitare un dispositivo MFA hardware per un altro utente IAM (console)**
1. Accedi Console di gestione AWS e apri la console IAM all'indirizzo [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/).
1. Nel pannello di navigazione, seleziona **Utenti**.
1. Scegli il nome del segreto per il quale desideri abilitare la rotazione.
1. Seleziona la scheda **Credenziali di sicurezza**. Nella sezione **Multi-Factor Authentication (MFA) (Autenticazione a più fattori)**, scegliere **Assign MFA device (Assegna dispositivo MFA)**.
1. Nella procedura guidata, digitate il **nome del dispositivo**, scegliete il **token Hardware TOTP** e quindi scegliete **Avanti**.
1. Digitare il numero di serie del dispositivo. In genere, il numero di serie è indicato sulla parte posteriore del dispositivo.
1. Nella casella **MFA code 1 (Codice MFA 1)** digitare il numero di sei cifre visualizzato nel dispositivo MFA. Per visualizzare il numero, potrebbe essere necessario premere il pulsante sul lato anteriore del dispositivo.
![\[Pannello di controllo IAM - Dispositivo MFA\]](http://docs.aws.amazon.com/it_it/IAM/latest/UserGuide/images/MFADevice.png)
1. Attendere 30 secondi per consentire al dispositivo di aggiornare il codice, quindi digitare il nuovo numero a sei cifre nella casella **MFA code 2 (Codice MFA 2)**. Per visualizzare il secondo numero, potrebbe essere necessario premere nuovamente il pulsante sul lato anteriore del dispositivo.
1. Scegli **Aggiungi MFA**.
**Importante**
La richiesta deve essere inviata immediatamente dopo la generazione dei codici di autenticazione. Se dopo avere generato i codici attendi troppo a lungo prima di inviare la richiesta, il dispositivo MFA si associerà correttamente con l'utente, ma perderà la sincronizzazione. Ciò accade perché le password monouso temporanee (TOTP) scadono dopo un breve periodo di tempo. Se ciò accade, è possibile [sincronizzare nuovamente il dispositivo](id_credentials_mfa_sync.md).
Il dispositivo è pronto per l'uso con AWS. Per ulteriori informazioni sull'utilizzo di MFA con la Console di gestione AWS, consulta [Accesso abilitato con MFA](console_sign-in-mfa.md).
## Sostituzione di un dispositivo MFA fisico
Puoi avere fino a otto dispositivi MFA di qualsiasi combinazione dei [tipi di MFA attualmente supportati](https://aws.amazon.com/iam/features/mfa/) assegnati a un utente alla volta con i tuoi Utente root dell'account AWS utenti e IAM. Se l'utente dovesse perdere il proprio dispositivo o in caso di sostituzione, dovrai disattivare il vecchio dispositivo e quindi aggiungere quello nuovo.
+ Per disattivare il dispositivo associato al momento con un utente, consultare [Disattivare un dispositivo MFA](id_credentials_mfa_disable.md).
+ Per aggiungere un dispositivo MFA hardware sostitutivo per un utente IAM, segui la procedura [Abilitazione di un dispositivo MFA hardware per un altro utente IAM (console)](#enable-hw-mfa-for-iam-user)descritta prima in questo argomento.
+ Per aggiungere un token TOTP hardware sostitutivo per Utente root dell'account AWS, segui i passaggi della procedura descritta in [Abilitazione di un token TOTP hardware per l'utente root dell' (console)](enable-hw-mfa-for-root.md) precedenza in questo argomento.
# Assegna dispositivi MFA nell' AWS CLI API o AWS
Puoi utilizzare AWS CLI comandi o operazioni AWS API per abilitare un dispositivo MFA virtuale per un utente IAM. Non è possibile abilitare un dispositivo MFA per il Utente root dell'account AWS AWS CLI, AWS API, Tools for Windows PowerShell o qualsiasi altro strumento da riga di comando. Tuttavia, è possibile utilizzare il Console di gestione AWS per abilitare un dispositivo MFA per l'utente root.
Quando abiliti un dispositivo MFA da Console di gestione AWS, la console esegue più passaggi per te. Se invece crei AWS CLI un dispositivo virtuale utilizzando Tools for Windows PowerShell o AWS API, devi eseguire i passaggi manualmente e nell'ordine corretto. Ad esempio, per creare un dispositivo MFA virtuale, è necessario creare l'oggetto IAM ed estrarre il codice sotto forma di stringa o di codice grafico QR. Quindi è necessario sincronizzare il dispositivo e associarlo a un utente IAM. Vedi la sezione **Esempi** di [New- IAMVirtual MFADevice](https://docs.aws.amazon.com/powershell/latest/reference/Index.html?page=New-IAMVirtualMFADevice.html&tocid=New-IAMVirtualMFADevice) per maggiori dettagli. Per un dispositivo fisico, si salta la fase di creazione per andare direttamente a sincronizzare il dispositivo e associarlo con l'utente.
È possibile collegare tag alle risorse IAM, inclusi i dispositivi MFA virtuali, per identificare, organizzare e controllare l'accesso a tali risorse. È possibile etichettare i dispositivi MFA virtuali solo quando si utilizza l'API AWS CLI o AWS .
Un utente IAM che utilizza l'SDK o la CLI può abilitare un dispositivo MFA aggiuntivo chiamando [https://docs.aws.amazon.com/IAM/latest/APIReference/API_EnableMFADevice.html](https://docs.aws.amazon.com/IAM/latest/APIReference/API_EnableMFADevice.html) o disattivarlo chiamando [https://docs.aws.amazon.com/IAM/latest/APIReference/API_DeactivateMFADevice.html](https://docs.aws.amazon.com/IAM/latest/APIReference/API_DeactivateMFADevice.html). Per eseguire correttamente questa operazione, devono prima chiamare [https://docs.aws.amazon.com/STS/latest/APIReference/API_GetSessionToken.html](https://docs.aws.amazon.com/STS/latest/APIReference/API_GetSessionToken.html) e inviare i codici MFA con un dispositivo MFA esistente. Questa chiamata restituisce credenziali di sicurezza temporanee che possono quindi essere utilizzate per firmare operazioni API che richiedono l'autenticazione MFA. Per un esempio di richiesta e risposta, consulta [`GetSessionToken`: credenziali temporanee per gli utenti in ambienti non attendibili](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp_request.html#api_getsessiontoken).
**Creazione dell'entità del dispositivo virtuale in IAM in modo che rappresenti un dispositivo MFA virtuale**
Questi comandi forniscono un ARN per il dispositivo che viene usato al posto di un numero di serie in molti dei seguenti comandi.
+ AWS CLI: [https://docs.aws.amazon.com/cli/latest/reference/iam/create-virtual-mfa-device.html](https://docs.aws.amazon.com/cli/latest/reference/iam/create-virtual-mfa-device.html)
+ AWS API: [https://docs.aws.amazon.com/IAM/latest/APIReference/API_CreateVirtualMFADevice.html](https://docs.aws.amazon.com/IAM/latest/APIReference/API_CreateVirtualMFADevice.html)
**Per abilitare un dispositivo MFA da utilizzare con AWS**
Questi comandi sincronizzano il dispositivo AWS e lo associano a un utente. Se il dispositivo è virtuale, utilizzare l'ARN di un dispositivo virtuale come numero di serie.
**Importante**
La richiesta deve essere inviata immediatamente dopo la generazione dei codici di autenticazione. Se dopo avere generato i codici attendi troppo a lungo prima di inviare la richiesta, il dispositivo MFA si associerà correttamente con l'utente, ma perderà la sincronizzazione. Ciò accade perché le password monouso temporanee (TOTP) scadono dopo un breve periodo di tempo. In questo caso, è possibile risincronizzare il dispositivo utilizzando i comandi descritti di seguito.
+ AWS CLI: [https://docs.aws.amazon.com/cli/latest/reference/iam/enable-mfa-device.html](https://docs.aws.amazon.com/cli/latest/reference/iam/enable-mfa-device.html)
+ AWS API: [https://docs.aws.amazon.com/IAM/latest/APIReference/API_EnableMFADevice.html](https://docs.aws.amazon.com/IAM/latest/APIReference/API_EnableMFADevice.html)
**Per disattivare un dispositivo**
Utilizzare questi comandi per dissociare il dispositivo dall'utente e disattivarlo. Se il dispositivo è virtuale, utilizzare l'ARN di un dispositivo virtuale come numero di serie. È inoltre necessario eliminare separatamente l'entità del dispositivo virtuale.
+ AWS CLI: [https://docs.aws.amazon.com/cli/latest/reference/iam/deactivate-mfa-device.html](https://docs.aws.amazon.com/cli/latest/reference/iam/deactivate-mfa-device.html)
+ AWS API: [https://docs.aws.amazon.com/IAM/latest/APIReference/API_DeactivateMFADevice.html](https://docs.aws.amazon.com/IAM/latest/APIReference/API_DeactivateMFADevice.html)
**Elenco delle entità del dispositivo MFA virtuale**
Utilizzare questi comandi per elencare le entità di un dispositivo MFA virtuale.
+ AWS CLI: [https://docs.aws.amazon.com/cli/latest/reference/iam/list-virtual-mfa-devices.html](https://docs.aws.amazon.com/cli/latest/reference/iam/list-virtual-mfa-devices.html)
+ AWS API: [https://docs.aws.amazon.com/IAM/latest/APIReference/API_ListVirtualMFADevices.html](https://docs.aws.amazon.com/IAM/latest/APIReference/API_ListVirtualMFADevices.html)
**Per applicare tag a un dispositivo MFA virtuale**
Utilizzare questi comandi per applicare tag a un dispositivo MFA virtuale.
+ AWS CLI: [https://docs.aws.amazon.com/cli/latest/reference/iam/tag-mfa-device.html](https://docs.aws.amazon.com/cli/latest/reference/iam/tag-mfa-device.html)
+ AWS API: [https://docs.aws.amazon.com/IAM/latest/APIReference/API_TagMFADevice.html](https://docs.aws.amazon.com/IAM/latest/APIReference/API_TagMFADevice.html)
**Per elencare i tag per un dispositivo MFA virtuale**
Utilizzare questi comandi per elencare i tag collegati a un dispositivo MFA virtuale.
+ AWS CLI: [https://docs.aws.amazon.com/cli/latest/reference/iam/list-mfa-device-tags.html](https://docs.aws.amazon.com/cli/latest/reference/iam/list-mfa-device-tags.html)
+ AWS API: [https://docs.aws.amazon.com/IAM/latest/APIReference/API_ListMFADeviceTags.html](https://docs.aws.amazon.com/IAM/latest/APIReference/API_ListMFADeviceTags.html)
**Per rimuovere i tag da un dispositivo MFA virtuale**
Utilizzare questi comandi per rimuovere i tag collegati a un dispositivo MFA virtuale.
+ AWS CLI: [https://docs.aws.amazon.com/cli/latest/reference/iam/untag-mfa-device.html](https://docs.aws.amazon.com/cli/latest/reference/iam/untag-mfa-device.html)
+ AWS API: [https://docs.aws.amazon.com/IAM/latest/APIReference/API_UntagMFADevice.html](https://docs.aws.amazon.com/IAM/latest/APIReference/API_UntagMFADevice.html)
**Risincronizzare un dispositivo MFA**
Usa questi comandi se il dispositivo genera codici che non sono accettati da AWS. Se il dispositivo è virtuale, utilizzare l'ARN di un dispositivo virtuale come numero di serie.
+ AWS CLI: [https://docs.aws.amazon.com/cli/latest/reference/iam/resync-mfa-device.html](https://docs.aws.amazon.com/cli/latest/reference/iam/resync-mfa-device.html)
+ AWS API: [https://docs.aws.amazon.com/IAM/latest/APIReference/API_ResyncMFADevice.html](https://docs.aws.amazon.com/IAM/latest/APIReference/API_ResyncMFADevice.html)
**Come eliminare un'entità del dispositivo MFA virtuale in IAM**
Dopo che il dispositivo è stato dissociato da parte dell'utente, è possibile eliminare l'entità del dispositivo.
+ AWS CLI: [https://docs.aws.amazon.com/cli/latest/reference/iam/delete-virtual-mfa-device.html](https://docs.aws.amazon.com/cli/latest/reference/iam/delete-virtual-mfa-device.html)
+ AWS API: [https://docs.aws.amazon.com/IAM/latest/APIReference/API_DeleteVirtualMFADevice.html](https://docs.aws.amazon.com/IAM/latest/APIReference/API_DeleteVirtualMFADevice.html)
**Per recuperare un dispositivo MFA virtuale che è stato smarrito o non funziona**
Potrebbe accadere che il dispositivo di un utente che ospita l'app MFA virtuale venga smarrito o sostituito o non funzioni. Quando ciò si verifica, l'utente non può recuperarlo autonomamente. L'utente deve contattare un amministratore per disattivare il dispositivo. Per ulteriori informazioni, consulta [Recuperare un'identità protetta da MFA in IAM](id_credentials_mfa_lost-or-broken.md).
# Verifica dello stato MFA
Utilizza la console IAM per verificare se un utente Utente root dell'account AWS o un utente IAM ha abilitato un dispositivo MFA valido.
**Come verificare lo stato MFA di un utente root**
1. Accedi a Console di gestione AWS con le tue credenziali utente root, quindi apri la console IAM all'indirizzo. [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/)
1. Seleziona il nome utente in alto a destra nella barra di navigazione e scegli **Security credentials** (Credenziali di sicurezza).
1. Controlla in **Multi-Factor Authentication (MFA)** per verificare se l'autenticazione MFA è abilitata o disabilitata. Se l'autenticazione MFA non è abilitata, viene visualizzato un simbolo di avviso (![\[Alert icon\]](http://docs.aws.amazon.com/it_it/IAM/latest/UserGuide/images/console-alert-icon.console.png)).
Per abilitare l'autenticazione MFA per l'account, consultare uno dei seguenti articoli:
+ [Abilitare un dispositivo MFA virtuale per l'utente root (console)](enable-virt-mfa-for-root.md)
+ [Abilitare una passkey o una chiave di sicurezza per l'utente root (console)](enable-fido-mfa-for-root.md)
+ [Abilitazione di un token TOTP hardware per l'utente root dell' (console)](enable-hw-mfa-for-root.md)
**Come verificare lo stato MFA degli utenti IAM**
1. Aprire la console IAM all'indirizzo [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/).
1. Nel pannello di navigazione, seleziona **Utenti**.
1. Se necessario, aggiungere la colonna **MFA** alla tabella degli utenti mediante la procedura seguente:
1. Sopra la tabella all'estrema destra, selezionare l'icona delle impostazioni (![\[Settings icon\]](http://docs.aws.amazon.com/it_it/IAM/latest/UserGuide/images/console-settings-icon.console.png)).
1. In **Manage Columns (Gestisci colonne)** selezionare **MFA**.
1. (Facoltativo) Deselezionare la casella di controllo per le intestazioni di colonna che non si desidera visualizzare nella tabella utenti.
1. Selezionare **Close (Chiudi)** per tornare all'elenco degli utenti.
1. La colonna **MFA** fornisce informazioni sul dispositivo MFA abilitato. Se per l'utente non è attivo alcun dispositivo MFA, la console visualizza **None** (Nessuno). Se l'utente dispone di un dispositivo MFA abilitato, la colonna **MFA** mostra il tipo di dispositivo abilitato con il valore **Virtual** (Virtuale), **Security Key** (Chiave di sicurezza), **Hardware** o **SMS**.
**Nota**
AWS è terminato il supporto per l'abilitazione dell'autenticazione a più fattori (MFA) tramite SMS. Consigliamo ai clienti con utenti IAM che utilizzano la MFA basata su messaggi di testo SMS di passare a uno dei seguenti metodi alternativi di autenticazione a più fattori: [dispositivo MFA virtuale (basato su software)](id_credentials_mfa_enable_virtual.md), [chiave di sicurezza FIDO](id_credentials_mfa_enable_fido.md) o [dispositivo MFA basato su hardware](id_credentials_mfa_enable_physical.md). Puoi identificare gli utenti nel tuo account con un dispositivo MFA SMS assegnato. Per farlo, vai alla console IAM, scegli **Users (Utenti)** dal riquadro di navigazione e individua gli utenti con **SMS** nella colonna della tabella **MFA**.
1. Per visualizzare ulteriori informazioni sul dispositivo MFA per un utente, selezionare il nome dell'utente di cui si desidera verificare lo stato MFA. Quindi, selezionare la scheda **Security credentials (Credenziali di sicurezza)**.
1. Se per l'utente non è attivo alcun dispositivo MFA, la console visualizza **No MFA devices (Nessun dispositivo MFA). Assegna un dispositivo MFA per migliorare la sicurezza del AWS tuo** ambiente nella sezione **Autenticazione a più fattori (MFA**). Se l'utente ha i dispositivi MFA abilitati, la sezione **Autenticazione a più fattori (MFA)** mostra i dettagli dei dispositivi:
+ Il nome del dispositivo
+ Il tipo di dispositivo
+ L'identificatore del dispositivo, ad esempio un numero di serie per un dispositivo fisico o l'ingresso ARN AWS per un dispositivo virtuale
+ Quando il dispositivo è stato creato
Per rimuovere o risincronizzare un dispositivo, scegli il pulsante d'opzione accanto al dispositivo e scegli **Remove** (Rimuovi) o **Resync** (Risincronizza).
Per ulteriori informazioni sull'abilitazione di MFA, consultare quanto segue:
+ [Assegna un dispositivo MFA virtuale nel Console di gestione AWS](id_credentials_mfa_enable_virtual.md)
+ [Assegna una passkey o una chiave di sicurezza nel Console di gestione AWS](id_credentials_mfa_enable_fido.md)
+ [Assegna un token TOTP hardware nel Console di gestione AWS](id_credentials_mfa_enable_physical.md)
# Risincronizzare i dispositivi MFA virtuali e hardware
È possibile utilizzarli AWS per risincronizzare i dispositivi di autenticazione a più fattori (MFA) virtuali e hardware. Se il dispositivo dell'utente non è sincronizzato quando si tenta di utilizzarlo, il tentativo di accesso dell'utente non riesce e IAM richiede all'utente di risincronizzare il dispositivo.
**Nota**
Le chiavi di sicurezza FIDO sono sempre sincronizzate. Se una chiave di sicurezza FIDO viene smarrita o danneggiata, puoi disattivarla. Per istruzioni sulla disattivazione dei dispositivi MFA, consulta [Come disattivare un dispositivo MFA per un altro utente IAM (console)](id_credentials_mfa_disable.md#deactivate-mfa-for-user).
In qualità di AWS amministratore, puoi risincronizzare i dispositivi MFA virtuali e hardware degli utenti IAM se non vengono sincronizzati.
Se il dispositivo Utente root dell'account AWS MFA non funziona, puoi risincronizzarlo utilizzando la console IAM con o senza completare la procedura di accesso. Se non riesci a risincronizzare correttamente il dispositivo, potrebbe essere necessario dissociarlo e associarlo nuovamente. Per ulteriori informazioni su come effettuare tale operazione, consulta [Disattivare un dispositivo MFA](id_credentials_mfa_disable.md) e [AWS Autenticazione a più fattori in IAM](id_credentials_mfa.md).
**Topics**
+ [Autorizzazioni richieste](#id_credentials_mfa_sync_console-permissions-required)
+ [Risincronizzazione dei dispositivi MFA virtuali e hardware (console IAM)](#id_credentials_mfa_sync_console)
+ [Risincronizzazione dei dispositivi MFA virtuali e hardware (AWS CLI)](#id_credentials_mfa_sync_cli)
+ [Risincronizzazione di dispositivi MFA (API) virtuali e hardware AWS](#id_credentials_mfa_sync_api)
## Autorizzazioni richieste
Per sincronizzare nuovamente i dispositivi MFA virtuali o hardware per l'utente IAM, è necessario disporre delle autorizzazioni dalla politica seguente. Questa politica non consente di creare o disattivare un dispositivo.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "AllowListActions",
"Effect": "Allow",
"Action": [
"iam:ListVirtualMFADevices"
],
"Resource": "*"
},
{
"Sid": "AllowUserToViewAndManageTheirOwnUserMFA",
"Effect": "Allow",
"Action": [
"iam:ListMFADevices",
"iam:ResyncMFADevice"
],
"Resource": "arn:aws:iam::*:user/${aws:username}"
},
{
"Sid": "BlockAllExceptListedIfNoMFA",
"Effect": "Deny",
"NotAction": [
"iam:ListMFADevices",
"iam:ListVirtualMFADevices",
"iam:ResyncMFADevice"
],
"Resource": "*",
"Condition": {
"BoolIfExists": {
"aws:MultiFactorAuthPresent": "false"
}
}
}
]
}
```
------
## Risincronizzazione dei dispositivi MFA virtuali e hardware (console IAM)
Puoi utilizzare la console IAM per risincronizzare i dispositivi MFA virtuali e hardware.
**Come risincronizzare un dispositivo MFA virtuale o hardware per un utente IAM (console)**
1. [Utilizza l'ID o l'alias dell'account, il nome utente IAM e la password per accedere alla console IAM. AWS](https://console.aws.amazon.com/iam)
**Nota**
Per comodità, la pagina di AWS accesso utilizza un cookie del browser per ricordare il nome utente IAM e le informazioni sull'account. Se in precedenza è stato eseguito l'accesso con un utente diverso, scegli il link **Accedi a un account differente** nella parte inferiore della pagina per ritornare alla pagina principale di accesso. Da lì, puoi digitare l'ID o l'alias dell'account per essere reindirizzato alla pagina di accesso utente IAM relativa al tuo AWS account.
Per ottenere il tuo Account AWS ID, contatta l'amministratore.
1. Seleziona il nome utente in alto a destra nella barra di navigazione e scegli **Security credentials** (Credenziali di sicurezza).
![\[AWS Link alle credenziali di sicurezza della console di gestione\]](http://docs.aws.amazon.com/it_it/IAM/latest/UserGuide/images/security-credentials-user.shared.console.png)
1. Nella scheda **Credenziali AWS IAM**, nella sezione **Autenticazione a più fattori (MFA)**, scegli il pulsante d'opzione accanto al dispositivo MFA e seleziona **Risincronizza**.
1. Digitare i successivi due codici generati in sequenza dal dispositivo in **MFA code 1 (Codice MFA 1)** e **MFA code 2 (Codice MFA 2)**. Quindi scegli **Resync** (Risincronizza).
**Importante**
Inviare la richiesta immediatamente dopo la generazione dei codici. Se si generano i codici e si attende troppo a lungo per inviare la richiesta, la richiesta sembra riuscita ma il dispositivo non è comunque sincronizzato. Ciò accade perché le password monouso temporanee (TOTP) scadono dopo un breve periodo di tempo.
**Come risincronizzare un dispositivo MFA virtuale o hardware per un altro utente IAM (console)**
1. Accedi Console di gestione AWS e apri la console IAM all'indirizzo [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/).
1. Nel riquadro di navigazione, selezionare **Users (Utenti)**e il nome dell'utente con dispositivo MFA da risincronizzare.
1. Selezionare la scheda **Security Credentials (Credenziali di sicurezza)**. Nella sezione **Multi-factor authentication (MFA)** (Autenticazione a più fattori (MFA), scegli il pulsante d'opzione accanto al dispositivo MFA e scegli **Resync** (Risincronizza).
1. Digitare i successivi due codici generati in sequenza dal dispositivo in **MFA code 1 (Codice MFA 1)** e **MFA code 2 (Codice MFA 2)**. Quindi scegli **Resync** (Risincronizza).
**Importante**
Inviare la richiesta immediatamente dopo la generazione dei codici. Se si generano i codici e si attende troppo a lungo per inviare la richiesta, la richiesta sembra riuscita ma il dispositivo non è comunque sincronizzato. Ciò accade perché le password monouso temporanee (TOTP) scadono dopo un breve periodo di tempo.
**Come risincronizzare l'autenticazione MFA dell'utente root prima dell'accesso (console)**
1. Nella pagina **Accesso ad Amazon Web Services con dispositivo di autenticazione**, seleziona ** Problemi con il tuo dispositivo di autenticazione? Fai clic qui**.
**Nota**
È possibile che il testo visualizzato sia differente, ad esempio **Sign in using MFA (Accesso con un dispositivo MFA)** e **Troubleshoot your authentication device (Risoluzione dei problemi del dispositivo di autenticazione)**. Tuttavia, le funzionalità sono identiche.
1. Nella sezione **Re-Sync With Our Servers (Risincronizzazione con i nostri server)**, digitare i successivi due codici generati in sequenza dal dispositivo in **MFA code 1 (Codice MFA 1)** e **MFA code 2 (Codice MFA 2)**. Quindi selezionare **Re-sync authentication device (Risincronizza dispositivo di autenticazione)**.
1. Se necessario, digitare di nuovo la password e selezionare **Accedi**. Quindi completare l'accesso utilizzando il dispositivo MFA.
**Come risincronizzare l'autenticazione MFA dell'utente root dopo l'accesso (console)**
1. Accedi alla [console IAM](https://console.aws.amazon.com/iam/) come proprietario dell'account selezionando **Utente root** e inserendo il tuo indirizzo Account AWS email. Nella pagina successiva, inserisci la password.
**Nota**
Come utente root, non puoi accedere alla pagina **Sign in as IAM user** (Accedi come utente IAM). Se viene visualizzata la pagina **Sign in as IAM user** (Accedi come utente IAM), scegli **Sign in using root user email** (Accedi con l'indirizzo e-mail dell'utente root) nella parte inferiore della pagina. Per informazioni sull'accesso come utente root, consulta [Accedere Console di gestione AWS come utente root nella Guida per](https://docs.aws.amazon.com/signin/latest/userguide/introduction-to- root-user-sign-in-tutorial.html) *l'Accedi ad AWS utente*.
1. Sul lato destro della barra di navigazione, seleziona il nome dell'account, quindi **Security Credentials** (Credenziali di sicurezza). Se necessario, seleziona **Continue to Security Credentials** (Continua con le credenziali di sicurezza).
![\[Credenziali di sicurezza nel menu di navigazione\]](http://docs.aws.amazon.com/it_it/IAM/latest/UserGuide/images/security-credentials-root.shared.console.png)
1. Espandere la sezione **Multi-Factor Authentication (MFA) (Autenticazione a più fattori, MFA)** della pagina.
1. Seleziona il pulsante d'opzione accanto al dispositivo e scegli **Resync** (Risincronizza).
1. Nella finestra di dialogo **Resync MFA device** (Risincronizza dispositivo MFA), digita i successivi due codici generati in sequenza dal dispositivo in **MFA code 1 (Codice MFA 1)** e **MFA code 2 (Codice MFA 2)**. Quindi scegli **Resync** (Risincronizza).
**Importante**
Inviare la richiesta immediatamente dopo la generazione dei codici. Se si attende troppo a lungo per inviare la richiesta dopo la generazione dei codici, il dispositivo MFA verrà associato all'utente, ma non verrà sincronizzato. Ciò accade perché le password monouso temporanee (TOTP) scadono dopo un breve periodo di tempo.
## Risincronizzazione dei dispositivi MFA virtuali e hardware (AWS CLI)
Puoi risincronizzare i dispositivi MFA virtuali e hardware da AWS CLI.
**Come risincronizzare un dispositivo MFA virtuale o hardware per un utente IAM (AWS CLI)**
Al prompt dei comandi, esegui il resync-mfa-device comando [aws iam](https://docs.aws.amazon.com/cli/latest/reference/iam/resync-mfa-device.html):
+ Dispositivo MFA virtuale: specificare l'Amazon Resource Name (ARN) del dispositivo come numero di serie.
```
aws iam resync-mfa-device --user-name Richard --serial-number arn:aws:iam::123456789012:mfa/RichardsMFA --authentication-code1 123456 --authentication-code2 987654
```
+ Dispositivo MFA hardware: specificare il numero di serie del dispositivo hardware come numero di serie. Il formato è specifico del fornitore. Ad esempio, puoi acquistare un token gemalto da Amazon. Il suo numero di serie è in genere quattro lettere seguite da quattro numeri.
```
aws iam resync-mfa-device --user-name Richard --serial-number ABCD12345678 --authentication-code1 123456 --authentication-code2 987654
```
**Importante**
Inviare la richiesta immediatamente dopo la generazione dei codici. Se si generano i codici e si attende troppo lungo per inviare la richiesta, la richiesta ha esito negativo perché i codici scadono dopo un breve periodo di tempo.
## Risincronizzazione di dispositivi MFA (API) virtuali e hardware AWS
In IAM è disponibile una chiamata API che esegue la sincronizzazione. In questo caso, ti consigliamo di fornire agli utenti del dispositivo MFA virtuale e hardware l'autorizzazione per accedere a questa chiamata API. Quindi, crea uno strumento basato su tale chiamata API per consentire agli utenti di risincronizzare i propri dispositivi ogni volta che è necessario.
**Per risincronizzare un dispositivo MFA virtuale o hardware per un utente IAM (API)AWS**
+ [Invia la richiesta di risincronizzazione. MFADevice](https://docs.aws.amazon.com/IAM/latest/APIReference/API_ResyncMFADevice.html)
# Disattivare un dispositivo MFA
In caso di problemi di accesso con un dispositivo con autenticazione a più fattori (MFA) come utente IAM, contatta il tuo amministratore per assistenza.
In qualità di amministratore, puoi disattivare il dispositivo per un altro utente IAM. In questo modo, l''utente potrà effettuare l'accesso senza utilizzare MFA. Questa soluzione può essere temporanea, se il dispositivo MFA è momentaneamente non disponibile o in attesa che venga sostituito. Tuttavia, ti consigliamo di abilitare un nuovo dispositivo per l'utente quanto prima possibile. Per informazioni su come abilitare un nuovo dispositivo MFA, consultare [AWS Autenticazione a più fattori in IAM](id_credentials_mfa.md).
**Nota**
Se utilizzi l'API o desideri AWS CLI eliminare un utente dal tuo Account AWS, devi disattivare o eliminare il dispositivo MFA dell'utente. Tale modifica fa paarte del processo di rimozione dell'utente. Per ulteriori informazioni sulla rimozione di utenti, consulta [Rimuovere o disattivare un utente IAM](id_users_remove.md).
**Topics**
+ [Disattivazione dei dispositivi MFA (console)](#deactive-mfa-console)
+ [Disattivazione dei dispositivi MFA (AWS CLI)](#deactivate-mfa-cli)
+ [Disattivazione dei dispositivi MFA (API)AWS](#deactivate-mfa-api)
## Disattivazione dei dispositivi MFA (console)
**Come disattivare un dispositivo MFA per un altro utente IAM (console)**
1. Accedi Console di gestione AWS e apri la console IAM all'indirizzo. [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/)
1. Nel pannello di navigazione, seleziona **Utenti**.
1. Per disattivare un dispositivo MFA, scegli il nome dell'utente a cui appartiene l'MFA da rimuovere.
1. Selezionare la scheda **Security Credentials (Credenziali di sicurezza)**.
1. In **Multi-factor authentication (MFA)** (Autenticazione a più fattori (MFA), scegli il pulsante d'opzione accanto al dispositivo MFA, quindi scegli **Remove** (Rimuovi) e poi di nuovo **Remove** (Rimuovi).
Il dispositivo viene rimosso da AWS. Non può essere utilizzato per accedere o autenticare le richieste finché non viene riattivato e associato a un AWS utente o. Utente root dell'account AWS
**Per disattivare il dispositivo MFA per la Utente root dell'account AWS tua (console)**
1. Accedi alla [console IAM](https://console.aws.amazon.com/iam/) come proprietario dell'account scegliendo **Utente root** e inserendo il tuo Account AWS indirizzo email. Nella pagina successiva, inserisci la password.
**Nota**
Come utente root, non puoi accedere alla pagina **Sign in as IAM user** (Accedi come utente IAM). Se viene visualizzata la pagina **Sign in as IAM user** (Accedi come utente IAM), scegli **Sign in using root user email** (Accedi con l'indirizzo e-mail dell'utente root) nella parte inferiore della pagina. Per informazioni sull'accesso come utente root, consulta [Accedere Console di gestione AWS come utente root nella Guida per](https://docs.aws.amazon.com/signin/latest/userguide/introduction-to- root-user-sign-in-tutorial.html) *l'Accedi ad AWS utente*.
1. Sul lato destro della barra di navigazione, seleziona il nome dell'account, quindi **Security Credentials** (Credenziali di sicurezza). Se necessario, seleziona **Continue to Security Credentials** (Continua con le credenziali di sicurezza).
![\[Credenziali di sicurezza nel menu di navigazione\]](http://docs.aws.amazon.com/it_it/IAM/latest/UserGuide/images/security-credentials-root.shared.console.png)
1. Nella sezione **Multi-factor authentication (MFA)** (Autenticazione a più fattori (MFA), scegli il pulsante d'opzione accanto al dispositivo MFA da disattivare e scegli **Remove** (Rimuovi).
1. Scegli **Rimuovi**.
Il dispositivo MFA è disattivato per l' Account AWS. Controlla l'e-mail associata al tuo indirizzo Account AWS per ricevere un messaggio di conferma da Amazon Web Services. L'e-mail ti informa che la tua autenticazione multifattore (MFA) di Amazon Web Services è stata disattivata. Il messaggio verrà inviato da `@amazon.com` o `@aws.amazon.com`.
**Nota**
I dispositivi MFA virtuali non assegnati nel Account AWS tuo vengono eliminati quando aggiungi nuovi dispositivi MFA virtuali tramite o durante Console di gestione AWS la procedura di accesso. I dispositivi MFA virtuali non assegnati sono dispositivi presenti nell’account ma non utilizzati dall’utente root dell’account o dagli utenti IAM per il processo di accesso. Vengono eliminati in modo da poter aggiungere nuovi dispositivi MFA virtuali al tuo account. Questo consente anche di riutilizzare i nomi dei dispositivi.
## Disattivazione dei dispositivi MFA (AWS CLI)
**Come disattivare un dispositivo MFA per un utente IAM (AWS CLI)**
+ Eseguire il comando: [https://docs.aws.amazon.com/cli/latest/reference/iam/deactivate-mfa-device.html](https://docs.aws.amazon.com/cli/latest/reference/iam/deactivate-mfa-device.html)
## Disattivazione dei dispositivi MFA (API)AWS
**Per disattivare un dispositivo MFA per un utente AWS IAM (API)**
+ Richiamare l'operazione: [https://docs.aws.amazon.com/IAM/latest/APIReference/API_DeactivateMFADevice.html](https://docs.aws.amazon.com/IAM/latest/APIReference/API_DeactivateMFADevice.html)
# Recuperare un'identità protetta da MFA in IAM
Se il [dispositivo MFA virtuale](id_credentials_mfa_enable_virtual.md) o il [token TOTP hardware](id_credentials_mfa_enable_physical.md) sembra funzionare correttamente, ma non è possibile utilizzarlo per accedere alle AWS risorse, potrebbe non essere sincronizzato con. AWS Per informazioni sulla sincronizzazione di un dispositivo MFA virtuale o hardware, consulta [Risincronizzare i dispositivi MFA virtuali e hardware](id_credentials_mfa_sync.md). [Le chiavi di sicurezza FIDO](id_credentials_mfa_enable_fido.md) sono sempre sincronizzate.
Se il [dispositivo MFA](id_credentials_mfa.md) di a Utente root dell'account AWS viene smarrito, danneggiato o non funziona, puoi ripristinare l'accesso al tuo account. Gli utenti IAM devono contattare un amministratore per disattivare il dispositivo.
**Importante**
Consigliamo di attivare più dispositivi MFA. La registrazione di più dispositivi MFA aiuta a garantire l'accesso continuo in caso di smarrimento o danneggiamento di un dispositivo. I tuoi utenti Utente root dell'account AWS e IAM possono registrare fino a otto dispositivi MFA di qualsiasi tipo.
## Prerequisito: utilizzare un altro dispositivo MFA
Se il tuo [dispositivo di autenticazione a più fattori (MFA)](id_credentials_mfa.md) viene perso, danneggiato o non funziona, potrai accedere utilizzando un altro dispositivo MFA registrato dello stesso utente root o utente IAM.
**Per accedere utilizzando un altro dispositivo MFA**
1. Accedi alla [Console di gestione AWS](url-comsole-domain;iam) con il tuo ID Account AWS o l'alias e la password dell'account.
1. Nella pagina **Verifica aggiuntiva richiesta** o nella pagina **Autenticazione a più fattori**, scegli **Prova un altro metodo MFA**.
1. Effettua l'autenticazione con il tipo di dispositivo MFA selezionato.
1. Il passaggio successivo varia a seconda che l'accesso sia stato eseguito correttamente con un dispositivo MFA alternativo.
+ Se hai effettuato correttamente l'accesso, puoi [Risincronizzare i dispositivi MFA virtuali e hardware](id_credentials_mfa_sync.md), il che potrebbe risolvere il problema. In caso di smarrimento o di malfunzionamento del dispositivo MFA, puoi disattivarlo. Per istruzioni sulla disattivazione dei dispositivi MFA, consulta [Disattivare un dispositivo MFA](id_credentials_mfa_disable.md).
+ Se non riesci ad accedere con MFA, segui i passaggi indicati in [Ripristino di un dispositivo MFA per l'utente root](#root-mfa-lost-or-broken) o [Ripristino di un dispositivo MFA dell'utente IAM](#iam-user-mfa-lost-or-broken) per recuperare la tua identità protetta da MFA.
## Ripristino di un dispositivo MFA per l'utente root
Se non è possibile effettuare con MFA, puoi utilizzare metodi di autenticazione alternativi per accedere tramite la verifica dell'identità, utilizzando l'e-mail e il numero di telefono di contatto principale registrati nell'account.
Prima di utilizzare fattori di autenticazione alternativi per accedere come utente root, assicurati di avere accesso all'e-mail e al numero di telefono di contatto principale associati all'account. Se devi aggiornare il numero di telefono di contatto principale, puoi accedere come utente IAM con accesso da *Amministratore* anziché come utente root. Per ulteriori istruzioni sull'aggiornamento delle informazioni di contatto dell'account, consulta [Modifica le informazioni di contatto](https://docs.aws.amazon.com/accounts/latest/reference/manage-acct-update-contact-primary.html) nella *Guida per l'utente AWS Billing *. Se non hai accesso a un'e-mail e al numero di telefono di contatto principale, contatta [Supporto AWS](https://support.aws.amazon.com/#/contacts/aws-mfa-support).
**Importante**
Ti consigliamo di mantenere aggiornati l'indirizzo email e il numero di telefono di contatto collegati all'utente root per ripristinare correttamente l'account. Per ulteriori informazioni, consulta [Aggiornare il contatto principale per Account AWS](https://docs.aws.amazon.com/accounts/latest/reference/manage-acct-update-contact-primary.html) nella *Guida di riferimento Gestione dell'account AWS *.
**Per accedere utilizzando fattori di autenticazione alternativi come Utente root dell'account AWS**
1. Accedi [Console di gestione AWS](https://console.aws.amazon.com/)come proprietario dell'account scegliendo **Utente root** e inserendo il tuo indirizzo Account AWS email. Nella pagina successiva, inserisci la password.
1. Nella pagina **Verifica aggiuntiva richiesta**, seleziona un metodo MFA con cui eseguire l'autenticazione e scegli **Avanti.**
**Nota**
È possibile che venga visualizzato un testo alternativo, ad esempio **Sign in using MFA** (Accedi utilizzando la MFA), **Troubleshoot your authentication device** (Risolvi i problemi del tuo dispositivo di autenticazione) oppure **Troubleshoot MFA** (Risolvi i problemi di MFA), ma la funzionalità è la stessa. Se non riesci a utilizzare i fattori alternativi di autenticazione per verificare l'indirizzo e-mail e il numero di telefono di contatto principale, contatta [Supporto AWS](https://support.aws.amazon.com/#/contacts/aws-mfa-support) per disattivare il dispositivo MFA.
1. A seconda del tipo di MFA in uso, verrà visualizzata una pagina diversa, ma l'opzione **Risoluzione dei problemi relativi all'autenticazione MFA** funziona comunque. Nella pagina **Verifica aggiuntiva richiesta** o nella pagina **Autenticazione a più fattori**, scegli **Risoluzione dei problemi relativi all'autenticazione MFA**.
1. Se necessario, digitare di nuovo la password e selezionare **Accedi**.
1. Nella pagina **Risoluzione dei problemi del dispositivo di autenticazione**, in **Accedi utilizzando fattori alternativi di autenticazione**, scegli **Accedi utilizzando fattori alternativi**.
1. Nella pagina **Accedi utilizzando fattori di autenticazione alternativi**, autentica il tuo account verificando l'indirizzo e-mail e scegli **Invia email di verifica.**
1. Controlla l'e-mail associata alla tua Account AWS per un messaggio proveniente da Amazon Web Services (recover-mfa-no-reply@verify .signin.aws). Seguire le istruzioni nel messaggio.
Se il messaggio non fosse presente nell'account e-mail, controllare la cartella spam o tornare al browser e selezionare **Resend the email (Rinvia l'e-mail)**.
1. Una volta verificato l'indirizzo e-mail, puoi continuare con l'autenticazione dell'account. Per verificare il numero di telefono di contatto principale, scegli **Call me now** (Chiamami ora).
1. Rispondi alla chiamata da AWS e, quando richiesto, inserisci il numero a 6 cifre del sito Web sulla tastiera del telefono. AWS
Se non ricevi una chiamata da AWS, scegli **Accedi** per accedere nuovamente alla console e ricominciare da capo. In alternativa, consulta la sezione [Dispositivo di autenticazione a più fattori (MFA) perso o inutilizzabile](https://support.aws.amazon.com/#/contacts/aws-mfa-support) per contattare il supporto e richiedere assistenza.
1. Una volta effettuata la verifica del numero di telefono, è possibile effettuare l'accesso all'account selezionando **Sign in to the console (Accedi alla console)**.
1. La prossima fase varia a seconda del tipo di MFA in uso:
+ Se si utilizza un dispositivo MFA virtuale, rimuovere l'account dal dispositivo. Quindi passa alla pagina [Credenziali di sicurezza AWS](https://console.aws.amazon.com/iam/home?#security_credential) ed elimina l'entità del vecchio dispositivo MFA virtuale prima di crearne una nuova.
+ Se utilizzi una chiave di sicurezza FIDO, visita la pagina [Credenziali di sicurezza AWS](https://console.aws.amazon.com/iam/home?#security_credential) e disattiva la chiave di sicurezza FIDO precedente prima di abilitarne una nuova.
+ Per un token TOTP hardware, contatta il provider di terze parti per assistenza con la riparazione o la sostituzione del dispositivo. L'accesso tramite fattori alternativi di autenticazione può essere utilizzato fino alla ricezione di un nuovo dispositivo. Una volta ottenuto il nuovo dispositivo MFA hardware, passa alla pagina [Credenziali di sicurezza di AWS](https://console.aws.amazon.com/iam/home?#security_credential) ed elimina il vecchio dispositivo MFA.
**Nota**
Non è necessario sostituire il dispositivo MFA smarrito o rubato con lo stesso tipo di dispositivo. Ad esempio, se la chiave di sicurezza FIDO viene danneggiata e ne ordini una nuova, potrai utilizzare il dispositivo MFA virtuale o il token TOTP hardware finché non ricevi la nuova chiave FIDO.
**Importante**
In caso di smarrimento o furto del dispositivo MFA, modifica la password dell'utente root dopo aver effettuato l'accesso e aver installato il dispositivo MFA sostitutivo. Un malintenzionato potrebbe aver rubato il dispositivo di autenticazione e potrebbe anche avere la tua password attuale. Per ulteriori informazioni, consulta [Cambiare la password per Utente root dell'account AWS](root-user-password.md).
## Ripristino di un dispositivo MFA dell'utente IAM
Se sei un utente IAM che non può accedere con MFA, non puoi recuperare un dispositivo MFA da solo, ma devi contattare un amministratore per disattivare il dispositivo. Quindi puoi abilitare un nuovo dispositivo.
**Come ottenere assistenza per un dispositivo MFA in qualità di utente IAM**
1. Contatta l' AWS amministratore o l'altra persona che ti ha fornito il nome utente e la password per l'utente IAM. L'amministratore deve disattivare il dispositivo MFA, come descritto in [Disattivare un dispositivo MFA](id_credentials_mfa_disable.md), in modo da consentire l'accesso.
1. La prossima fase varia a seconda del tipo di MFA in uso:
+ Se si utilizza un dispositivo MFA virtuale, rimuovere l'account dal dispositivo. Attivare il dispositivo virtuale come descritto in [Assegna un dispositivo MFA virtuale nel Console di gestione AWS](id_credentials_mfa_enable_virtual.md).
+ Per una chiave di sicurezza FIDO, contatta il provider di terze parti per ricevere assistenza con la sostituzione del dispositivo. Quando ricevi la nuova chiave di sicurezza FIDO, devi abilitarla come descritto nella sezione [Assegna una passkey o una chiave di sicurezza nel Console di gestione AWS](id_credentials_mfa_enable_fido.md).
+ Per un token TOTP hardware, contatta il provider di terze parti per assistenza con la riparazione o la sostituzione del dispositivo. Una volta ottenuto il nuovo dispositivo MFA fisico, abilitarlo nel modo descritto in [Assegna un token TOTP hardware nel Console di gestione AWS](id_credentials_mfa_enable_physical.md).
**Nota**
Non è necessario sostituire il dispositivo MFA smarrito o rubato con lo stesso tipo di dispositivo. Puoi avere fino a otto dispositivi MFA in una qualsiasi combinazione. Ad esempio, se la chiave di sicurezza FIDO viene danneggiata e ne ordini una nuova, potrai utilizzare il dispositivo MFA virtuale o il token TOTP hardware finché non ricevi la nuova chiave FIDO.
1. Se il dispositivo MFA è stato smarrito o rubato, modificare anche la password nel caso in cui chi si è impossessato del dispositivo di autenticazione possieda anche la password attualmente in uso. Per ulteriori informazioni, consulta [Gestione delle password per gli utenti IAM](id_credentials_passwords_admin-change-user.md)
# Accesso sicuro alle API con MFA
Con le policy IAM, è possibile specificare le operazioni API che un utente è autorizzato a chiamare. È possibile applicare una sicurezza aggiuntiva richiedendo agli utenti di eseguire l'autenticazione a più fattori (MFA) prima di consentire l'esecuzione di operazioni particolarmente sensibili.
Potrebbe ad esempio esserci una policy che permette a un utente di eseguire le operazioni `RunInstances`, `DescribeInstances` e `StopInstances` di Amazon EC2. Ma potresti voler limitare un'azione distruttiva come `TerminateInstances` e assicurarti che gli utenti possano eseguire tale azione solo se si autenticano con un dispositivo AWS MFA.
**Topics**
+ [Panoramica di](#MFAProtectedAPI-overview)
+ [Scenario: Protezione MFA per la delega tra account](#MFAProtectedAPI-cross-account-delegation)
+ [Scenario: Protezione MFA per l'accesso alle operazioni API nell'account corrente](#MFAProtectedAPI-user-mfa)
+ [Scenario: Protezione MFA per le risorse che hanno policy basate su risorse](#MFAProtectedAPI-resource-policies)
## Panoramica di
L'aggiunta della protezione MFA alle operazioni API prevede le operazioni seguenti:
1. L'amministratore configura un dispositivo AWS MFA per ogni utente che deve effettuare richieste API che richiedono l'autenticazione MFA. Per ulteriori informazioni, consulta [AWS Autenticazione a più fattori in IAM](id_credentials_mfa.md).
1. L'amministratore crea politiche per gli utenti che includono un `Condition` elemento che verifica se l'utente si è autenticato con un dispositivo AWS MFA.
1. L'utente chiama una delle operazioni AWS STS API che supportano i parametri MFA: [AssumeRole](https://docs.aws.amazon.com/STS/latest/APIReference/API_AssumeRole.html)o. [GetSessionToken](https://docs.aws.amazon.com/STS/latest/APIReference/API_GetSessionToken.html) Durante la chiamata, l'utente include l'ID dispositivo per il dispositivo associato all'utente. L'utente include anche la password una tantum a tempo (TOTP) generata dal dispositivo. In entrambi i casi, l'utente ottiene le credenziali di sicurezza temporanee che può quindi usare per effettuare richieste aggiuntive in AWS.
**Nota**
La protezione MFA per le operazioni API di un servizio è disponibile solo se il servizio supporta le credenziali di sicurezza temporanee. Per un elenco di questi servizi, consulta [Utilizzo di credenziali di sicurezza temporanee per accedere ad AWS](https://docs.aws.amazon.com/STS/latest/UsingSTS/UsingTokens.html).
Se l'autorizzazione AWS fallisce, restituisce un messaggio di errore di accesso negato (come accade per qualsiasi accesso non autorizzato). Con le politiche API protette da MFA, AWS nega l'accesso alle operazioni API specificate nelle politiche se l'utente tenta di richiamare un'operazione API senza un'autenticazione MFA valida. L'operazione viene rifiutata anche se il timestamp della richiesta di operazione API è al di fuori dell'intervallo consentito specificato nella policy. L'utente deve essere autenticato di nuovo con MFA richiedendo nuove credenziali di sicurezza temporanee con un codice MFA e il numero di serie del dispositivo.
### Policy IAM con condizioni MFA
Le policy con condizioni MFA possono essere collegate a:
+ Un utente o un gruppo IAM
+ Una risorsa, ad esempio un bucket Amazon S3, una coda Amazon SQS o un argomento Amazon SNS
+ La policy di attendibilità di un ruolo IAM che può essere assunto da un utente
Puoi usare una condizione MFA in una policy per controllare le proprietà seguenti:
+ Esistenza: per verificare semplicemente che l'utente abbia eseguito l'autenticazione con MFA, controlla che la chiave `aws:MultiFactorAuthPresent` sia `True` in una condizione `Bool`. La chiave è presente solo quando l'utente esegue l'autenticazione con credenziali a breve termine. Le credenziali a lungo termine, ad esempio le chiavi di accesso, non includono questa chiave.
+ Durata: se desideri concedere l'accesso solo per un periodo di tempo specificato dopo l'autenticazione MFA, usa una condizione di tipo numerico per confrontare la validità della chiave `aws:MultiFactorAuthAge` con un valore (ad esempio 3.600 secondi). Ricordati che la chiave `aws:MultiFactorAuthAge` non è presente se non è stata usata l'autenticazione MFA.
L'esempio seguente mostra la policy di attendibilità di un ruolo IAM che include una condizione MFA da testare per verificare l'esistenza dell'autenticazione MFA. Con questa politica, gli utenti Account AWS specificati nell'`Principal`elemento (sostituendo `ACCOUNT-B-ID` con un Account AWS ID valido) possono assumere il ruolo a cui è associata questa politica. ma solo se si sono autenticati tramite MFA.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": {
"Effect": "Allow",
"Principal": {"AWS": "ACCOUNT-B-ID"},
"Action": "sts:AssumeRole",
"Condition": {"Bool": {"aws:MultiFactorAuthPresent": "true"}}
}
}
```
------
Per ulteriori informazioni sui tipi di condizioni per MFA, consulta [AWS chiavi di contesto della condizione globale](reference_policies_condition-keys.md), [Operatori di condizione numerici](reference_policies_elements_condition_operators.md#Conditions_Numeric) e [Operatore di condizione per verificare la presenza di chiavi di condizione](reference_policies_elements_condition_operators.md#Conditions_Null).
### Scegliendo tra GetSessionToken e AssumeRole
AWS STS fornisce due operazioni API che consentono agli utenti di trasmettere informazioni MFA: `GetSessionToken` e. `AssumeRole` L'operazione API che l'utente chiama per ottenere le credenziali di sicurezza temporanee dipende dallo scenario applicabile tra quelli descritti di seguito.
**Usa `GetSessionToken` per gli scenari seguenti:**
+ Chiama le operazioni API che accedono alle risorse nello Account AWS stesso modo in cui l'utente IAM effettua la richiesta. Tieni presente che le credenziali temporanee di una `GetSessionToken` richiesta possono accedere alle operazioni IAM e AWS STS API *solo* se includi informazioni MFA nella richiesta di credenziali. Poiché le credenziali temporanee restituite da `GetSessionToken` includono le informazioni MFA, puoi verificare l'MFA nelle singole operazioni API effettuate tramite le credenziali.
+ Accesso alle risorse protette con policy basate su risorse che includono una condizione MFA.
Lo scopo dell'operazione `GetSessionToken` è autenticare l'utente tramite MFA. Non è possibile utilizzare le policy per controllare le operazioni di autenticazione.
**Usa `AssumeRole` per gli scenari seguenti:**
+ Chiamata alle operazioni API che accedono alle risorse nello stesso Account AWS o in un account diverso. Le chiamate API possono includere qualsiasi IAM o API. AWS STS Per proteggere l'accesso, l'autenticazione MFA viene applicata quando l'utente assume il ruolo. Le credenziali temporanee restituite da `AssumeRole` non includono le informazioni MFA nel contesto, quindi non puoi verificare l'MFA nelle singole operazioni API. Per questo motivo, è necessario usare `GetSessionToken` per limitare l'accesso alle risorse protette da policy basate su risorse.
**Nota**
AWS CloudTrail i log conterranno informazioni MFA quando l'utente IAM accede con MFA. Se l'utente IAM assume un ruolo IAM, CloudTrail `mfaAuthenticated: true` accederà anche `sessionContext` agli attributi per le azioni eseguite utilizzando il ruolo assunto. Tuttavia, CloudTrail la registrazione è separata da ciò che IAM richiede quando le chiamate API vengono effettuate con le credenziali del ruolo assunto. Per ulteriori informazioni, consulta [Elemento CloudTrail userIdentity](https://docs.aws.amazon.com//awscloudtrail/latest/userguide/cloudtrail-event-reference-user-identity.html).
Le informazioni su come implementare questi scenari vengono fornite più avanti in questo documento.
### Considerazioni importanti sull'accesso alle API protetto da MFA
È importante comprendere i seguenti aspetti della protezione MFA per le operazioni API:
+ La protezione MFA è disponibile solo con le credenziali di sicurezza temporanee, che è possibile ottenere con `AssumeRole` o `GetSessionToken`.
+ Non è possibile utilizzare l'accesso alle API protetto da MFA con credenziali. Utente root dell'account AWS
+ Non è possibile usare l'accesso alle API protetto da MFA con chiavi di sicurezza U2F.
+ Agli utenti federati non può essere assegnato un dispositivo MFA da utilizzare AWS con i servizi, quindi non possono AWS accedere alle risorse controllate dalla MFA. Vedi il punto successivo.
+ Altre operazioni AWS STS API che restituiscono credenziali temporanee non supportano l'MFA. Per `AssumeRoleWithWebIdentity` e`AssumeRoleWithSAML`, l'utente è autenticato da un provider esterno e AWS non può determinare se tale provider abbia richiesto l'autenticazione MFA. Per `GetFederationToken`, l'autenticazione MFA non è necessariamente associata a un utente specifico.
+ Analogamente, le credenziali a lungo termine (chiavi di accesso dell'utente IAM e chiavi di accesso dell'utente root) non possono essere usate con l'accesso alle API protetto da MFA perché non scadono.
+ È possibile chiamare `AssumeRole` e `GetSessionToken` anche senza informazioni MFA. In tal caso, il chiamante riceve le credenziali di sicurezza temporanee, ma le informazioni di sessione per tali credenziali temporanee non indicano che l'utente ha eseguito l'autenticazione con MFA.
+ Per stabilire la protezione MFA per le operazioni API, aggiungi condizioni MFA alle policy. Una policy deve includere la chiave di condizione `aws:MultiFactorAuthPresent` per implementare l'uso dell'MFA. Per la delega tra più account, la policy di attendibilità del ruolo deve includere la chiave di condizione.
+ Quando consenti Account AWS a un altro utente di accedere alle risorse del tuo account, la sicurezza delle tue risorse dipende dalla configurazione dell'account fidato (l'altro account, non il tuo). Questo vale anche quando è richiesta la multi-factor authentication. Qualsiasi identità nell'account attendibile che dispone dell'autorizzazione per creare dispositivi MFA virtuali può creare un'attestazione MFA per soddisfare tale parte della policy di affidabilità del ruolo. Prima di consentire ai membri di un altro account di accedere alle tue AWS risorse che richiedono l'autenticazione a più fattori, devi assicurarti che il proprietario dell'account fidato segua le migliori pratiche di sicurezza. Ad esempio, l'account attendibile deve limitare l'accesso alle operazioni API sensibili, ad esempio le operazioni API di gestione dei dispositivi MFA, a identità attendibili specifiche.
+ Se una policy include una condizione MFA, una richiesta viene negata se gli utenti non sono stati autenticati tramite MFA oppure se forniscono una password TOTP o un identificatore di dispositivo MFA non valido.
## Scenario: Protezione MFA per la delega tra account
In questo scenario, desideri delegare l'accesso agli utenti IAM in un altro account, ma solo se gli utenti sono autenticati con un dispositivo MFA AWS . Per ulteriori informazioni sulla delega tra più account, consulta [Termini e concetti dei ruoli](id_roles.md#id_roles_terms-and-concepts).
Immagina di avere un account A (l'account che determina l'attendibilità, proprietario della risorsa a cui è necessario accedere), con l'utente IAM Anaya, che ha l'autorizzazione di amministratore. Anaya desidera concedere l'accesso all'utente Richard nell'account B (l'account attendibile), ma vuole assicurarsi che Richard sia autenticato con MFA prima di poter assumere il ruolo.
1. Nell'account di fiducia A, Anaya crea un ruolo IAM denominato `CrossAccountRole` e imposta come principale nella politica di fiducia del ruolo l'ID dell'account B. La politica di fiducia concede l'autorizzazione all'azione. AWS STS `AssumeRole` Anaya aggiunge inoltre una condizione MFA alla policy di trust, come nell'esempio seguente.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": {
"Effect": "Allow",
"Principal": {"AWS": "ACCOUNT-B-ID"},
"Action": "sts:AssumeRole",
"Condition": {"Bool": {"aws:MultiFactorAuthPresent": "true"}}
}
}
```
------
1. Anaya aggiunge una policy di autorizzazione al ruolo che specifica le attività consentite per il ruolo. La policy di autorizzazione per un ruolo con protezione MFA è uguale a qualsiasi altra policy di autorizzazione di un ruolo. L'esempio seguente mostra la policy aggiunta al ruolo da Anaya, che consente a un utente ipotetico di eseguire qualsiasi operazione Amazon DynamoDB sulla tabella `Books` nell'account A. Questa policy consente anche l'operazione `dynamodb:ListTables`, necessaria per eseguire operazioni nella console.
**Nota**
La policy di autorizzazione non include una condizione MFA. È importante comprendere che l'autenticazione MFA viene usata solo per determinare se un utente può assumere tale ruolo. Una volta che l'utente ha assunto il ruolo, non vengono svolti ulteriori controlli MFA.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "TableActions",
"Effect": "Allow",
"Action": "dynamodb:*",
"Resource": "arn:aws:dynamodb:*:111122223333:table/Books"
},
{
"Sid": "ListTables",
"Effect": "Allow",
"Action": "dynamodb:ListTables",
"Resource": "*"
}
]
}
```
------
1. Nell'account attendibile B, l'amministratore si assicura che l'utente IAM Richard sia configurato con un dispositivo AWS MFA e che conosca l'ID del dispositivo. ovvero il numero di serie se si tratta di un dispositivo MFA hardware o l'ARN del dispositivo se si tratta di un dispositivo MFA virtuale.
1. Nell'account B, l'amministratore collega all'utente Richard (o un gruppo di cui è membro) la policy seguente, che gli permette di chiamare l'operazione `AssumeRole`. La risorsa è impostata sull'ARN del ruolo creato da Anaya nella fase 1. Osserva che questa policy non contiene una condizione MFA.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"sts:AssumeRole"
],
"Resource": [
"arn:aws:iam::111122223333:role/CrossAccountRole"
]
}
]
}
```
------
1. Nell'account B, Richard (o un'applicazione che Richard sta eseguendo) chiama `AssumeRole`. La chiamata dell'API include l'ARN del ruolo da assumere (`arn:aws:iam::ACCOUNT-A-ID:role/CrossAccountRole`), l'ID del dispositivo MFA e la password TOTP corrente che Richard ottiene dal suo dispositivo.
Quando Richard chiama`AssumeRole`, AWS determina se dispone di credenziali valide, incluso il requisito per l'MFA. In caso affermativo, Richard assume correttamente il ruolo e può eseguire qualsiasi operazione DynamoDB sulla tabella denominata `Books` nell'account A usando le credenziali temporanee del ruolo.
Per un esempio di programma che chiama `AssumeRole`, consulta [AssumeRole Chiamate con autenticazione MFA](id_credentials_mfa_sample-code.md#MFAProtectedAPI-example-assumerole).
## Scenario: Protezione MFA per l'accesso alle operazioni API nell'account corrente
In questo scenario, dovresti assicurarti che un tuo utente Account AWS possa accedere alle operazioni API sensibili solo quando l'utente è autenticato utilizzando un dispositivo AWS MFA.
Immagina di avere un account A che contiene un gruppo di sviluppatori che devono usare le istanze EC2. In genere, gli sviluppatori possono usare le istanze, ma non hanno le autorizzazioni per le operazioni `ec2:StopInstances` e `ec2:TerminateInstances`. È opportuno limitare queste operazioni privilegiate "distruttive" a pochi utenti attendibili, quindi aggiungi la protezione MFA alla policy che permette queste operazioni Amazon EC2 sensibili.
In questo scenario, uno degli utenti attendibili è Sofía. L'utente Anaya è un amministratore nell'account A.
1. Anaya si assicura che Sofía sia configurata con un dispositivo AWS MFA e che Sofía conosca l'ID del dispositivo. ovvero il numero di serie se si tratta di un dispositivo MFA hardware o l'ARN del dispositivo se si tratta di un dispositivo MFA virtuale.
1. Anaya crea un gruppo denominato `EC2-Admins` e aggiunge l'utente Sofía al gruppo.
1. Anaya collega la policy seguente al gruppo `EC2-Admins`. Questa policy concede agli utenti l'autorizzazione per chiamare le operazioni `StopInstances` e `TerminateInstances` di Amazon EC2 solo se l'utente ha eseguito l'autenticazione tramite MFA.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [{
"Effect": "Allow",
"Action": [
"ec2:StopInstances",
"ec2:TerminateInstances"
],
"Resource": ["*"],
"Condition": {"Bool": {"aws:MultiFactorAuthPresent": "true"}}
}]
}
```
------
1.
**Nota**
Per rendere effettiva questa policy, gli utenti devono prima disconnettersi e quindi accedere nuovamente.
Se l'utente Sofía deve arrestare o terminare un'istanza Amazon EC2, l'utente o un'applicazione da lei eseguita, chiama `GetSessionToken`. Questa operazione API passa l'ID o del dispositivo MFA e la password TOTP corrente che Sofía ottiene dal suo dispositivo.
1. L'utente Sofía (o un'applicazione che Sofía sta usando) usa le credenziali temporanee fornite da `GetSessionToken` per chiamare l'operazione `StopInstances` o `TerminateInstances` di Amazon EC2.
Per un esempio di programma che chiama `GetSessionToken`, consulta [GetSessionToken Chiamate con autenticazione MFA](id_credentials_mfa_sample-code.md#MFAProtectedAPI-example-getsessiontoken) più avanti in questo documento.
## Scenario: Protezione MFA per le risorse che hanno policy basate su risorse
In questo scenario, sei il proprietario di un bucket S3, una coda SQS o un argomento SNS. Vuoi assicurarti che tutti gli utenti Account AWS che accedono alla risorsa siano autenticati da un dispositivo MFA AWS .
Questo scenario illustra un modo per fornire la protezione MFA per più account senza richiedere agli utenti di assumere prima un ruolo. In tal caso, l'utente può accedere alla risorsa se vengono soddisfatte tre condizioni: l'utente deve essere autenticato mediante MFA, essere in grado di ottenere credenziali di sicurezza temporanee da `GetSessionToken` ed essere in un account ritenuto attendibile dalla policy della risorsa.
Immagina di avere l'account A e di creare un bucket S3. Desideri concedere l'accesso a questo bucket agli utenti che si trovano in diversi ambienti Account AWS, ma solo se tali utenti sono autenticati con MFA.
In questo scenario, l'utente Anaya è un amministratore nell'account A. L'utente Nikhil è un utente IAM nell'account C.
1. Nell'account A, Anaya crea un bucket denominato `Account-A-bucket`.
1. Anaya aggiunge la policy del bucket al bucket. La policy permette a qualsiasi utente in un account A, un account B o un account C di eseguire le operazioni `PutObject` e `DeleteObject` di Amazon S3 nel bucket. La policy include una condizione MFA.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [{
"Effect": "Allow",
"Principal": {"AWS": [
"ACCOUNT-A-ID",
"ACCOUNT-B-ID",
"ACCOUNT-C-ID"
]},
"Action": [
"s3:PutObject",
"s3:DeleteObject"
],
"Resource": ["arn:aws:s3:::ACCOUNT-A-BUCKET-NAME/*"],
"Condition": {"Bool": {"aws:MultiFactorAuthPresent": "true"}}
}]
}
```
------
**Nota**
Amazon S3 offre la funzionalità Cancellazione MFA solo per l'accesso all'account *root*. Puoi abilitare la funzionalità Cancellazione MFA di Amazon S3 quando imposti lo stato del controllo delle versioni del bucket. La funzionalità Cancellazione MFA di Amazon S3 non può essere applicata a un utente IAM e viene gestita indipendentemente dall'accesso alle API protetto da MFA. Un utente IAM con l'autorizzazione per eliminare un bucket non può eliminare un bucket quando la funzionalità Cancellazione MFA di Amazon S3 è abilitata. Per ulteriori informazioni sulla funzionalità Cancellazione MFA di Amazon S3, consulta [Cancellazione MFA](https://docs.aws.amazon.com/AmazonS3/latest/dev/MultiFactorAuthenticationDelete.html).
1. Nell'account C, un amministratore verifica che l'utente Nikhil sia configurato con un dispositivo MFA AWS e che conosca l'ID del dispositivo. ovvero il numero di serie se si tratta di un dispositivo MFA hardware o l'ARN del dispositivo se si tratta di un dispositivo MFA virtuale.
1. Nell'account C, Nikhil (o un'applicazione che lui sta eseguendo) chiama `GetSessionToken`. La chiamata include l'ID o l'ARN del dispositivo MFA e la password TOTP corrente che Nikhil ottiene dal suo dispositivo.
1. Nikhil (o un'applicazione che lui sta usando) usa le credenziali temporanee restituite da `GetSessionToken` per chiamare l'operazione `PutObject` di Amazon S3 per caricare un file in `Account-A-bucket`.
Per un esempio di programma che chiama `GetSessionToken`, consulta [GetSessionToken Chiamate con autenticazione MFA](id_credentials_mfa_sample-code.md#MFAProtectedAPI-example-getsessiontoken) più avanti in questo documento.
**Nota**
Le credenziali temporanee che `AssumeRole` restituisce non funzionano in questo caso. Anche se l'utente è in grado di fornire informazioni MFA per assumere un ruolo, le credenziali temporanee restituite da `AssumeRole` non includono le informazioni MFA. Queste informazione sono necessarie per soddisfare la condizione MFA nella policy.
# Codice di esempio: richiesta di credenziali con l'autenticazione a più fattori (MFA)
I seguenti esempi mostrano come chiamare le operazioni `GetSessionToken` e `AssumeRole` e passare i parametri di autenticazione MFA. Non è richiesta alcuna autorizzazione per chiamare `GetSessionToken`, ma è necessario disporre di una policy che permetta di chiamare `AssumeRole`. Le credenziali restituite vengono quindi utilizzate per elencare tutti i bucket S3 nell'account.
## GetSessionToken Chiamate con autenticazione MFA
I seguenti esempi mostrano come chiamare `GetSessionToken` e passare le informazioni sull'autenticazione MFA. Le credenziali di sicurezza temporanee restituite dall'operazione `GetSessionToken` vengono quindi utilizzate per elencare tutti i bucket S3 nell'account.
La policy collegata all'utente che esegue questo codice (o a un gruppo in cui si trova utente) fornisce le autorizzazioni per le credenziali temporanee restituite. Per questo codice di esempio, la policy deve concedere all'utente l'autorizzazione per richiedere l'operazione `ListBuckets` di Amazon S3.
Gli esempi di codice seguenti mostrano come utilizzare `GetSessionToken`.
------
#### [ CLI ]
**AWS CLI**
**Come ottenere un set di credenziali a breve termine per un’identità IAM**
il comando `get-session-token` seguente recupera un set di credenziali a breve termine per l’identità IAM che esegue la chiamata. Le credenziali risultanti possono essere utilizzate per richieste in cui l’autenticazione a più fattori (MFA) è richiesta dalla policy. Le credenziali scadono 15 minuti dopo la loro generazione.
```
aws sts get-session-token \
--duration-seconds 900 \
--serial-number "YourMFADeviceSerialNumber" \
--token-code 123456
```
Output:
```
{
"Credentials": {
"AccessKeyId": "ASIAIOSFODNN7EXAMPLE",
"SecretAccessKey": "wJalrXUtnFEMI/K7MDENG/bPxRfiCYzEXAMPLEKEY",
"SessionToken": "AQoEXAMPLEH4aoAH0gNCAPyJxz4BlCFFxWNE1OPTgk5TthT+FvwqnKwRcOIfrRh3c/LTo6UDdyJwOOvEVPvLXCrrrUtdnniCEXAMPLE/IvU1dYUg2RVAJBanLiHb4IgRmpRV3zrkuWJOgQs8IZZaIv2BXIa2R4OlgkBN9bkUDNCJiBeb/AXlzBBko7b15fjrBs2+cTQtpZ3CYWFXG8C5zqx37wnOE49mRl/+OtkIKGO7fAE",
"Expiration": "2020-05-19T18:06:10+00:00"
}
}
```
Per ulteriori informazioni, consulta [Richiesta di credenziali di sicurezza temporanee](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp_request.html#api_getsessiontoken) nella *AWS Guida per l’utente di IAM*.
+ Per i dettagli sull'API, consulta [GetSessionToken AWS CLI](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/sts/get-session-token.html)*Command Reference.*
------
#### [ PowerShell ]
**Strumenti per PowerShell V4**
**Esempio 1: restituisce un’istanza `Amazon.RuntimeAWSCredentials` contenente credenziali temporanee valide per un determinato periodo di tempo. Le credenziali utilizzate per richiedere credenziali temporanee vengono dedotte dalle impostazioni predefinite correnti della shell. Per specificare altre credenziali, utilizzare i parametri - ProfileName o - AccessKey SecretKey /.**
```
Get-STSSessionToken
```
**Output:**
```
AccessKeyId Expiration SecretAccessKey SessionToken
----------- ---------- --------------- ------------
EXAMPLEACCESSKEYID 2/16/2015 9:12:28 PM examplesecretaccesskey... SamPleTokeN.....
```
**Esempio 2: restituisce un’istanza `Amazon.RuntimeAWSCredentials` contenente credenziali temporanee valide per un’ora. Le credenziali utilizzate per effettuare la richiesta vengono ottenute dal profilo specificato.**
```
Get-STSSessionToken -DurationInSeconds 3600 -ProfileName myprofile
```
**Output:**
```
AccessKeyId Expiration SecretAccessKey SessionToken
----------- ---------- --------------- ------------
EXAMPLEACCESSKEYID 2/16/2015 9:12:28 PM examplesecretaccesskey... SamPleTokeN.....
```
**Esempio 3: restituisce un’istanza `Amazon.RuntimeAWSCredentials` contenente credenziali temporanee valide per un’ora utilizzando il numero di identificazione del dispositivo MFA associato all’account le cui credenziali sono specificate nel profilo ’myprofilename’ e il valore fornito dal dispositivo.**
```
Get-STSSessionToken -DurationInSeconds 3600 -ProfileName myprofile -SerialNumber YourMFADeviceSerialNumber -TokenCode 123456
```
**Output:**
```
AccessKeyId Expiration SecretAccessKey SessionToken
----------- ---------- --------------- ------------
EXAMPLEACCESSKEYID 2/16/2015 9:12:28 PM examplesecretaccesskey... SamPleTokeN.....
```
+ Per i dettagli sull'API, vedere [GetSessionToken](https://docs.aws.amazon.com/powershell/v4/reference)in *AWS Strumenti per PowerShell Cmdlet Reference* (V4).
**Strumenti per V5 PowerShell **
**Esempio 1: restituisce un’istanza `Amazon.RuntimeAWSCredentials` contenente credenziali temporanee valide per un determinato periodo di tempo. Le credenziali utilizzate per richiedere credenziali temporanee vengono dedotte dalle impostazioni predefinite correnti della shell. Per specificare altre credenziali, utilizzare i parametri - ProfileName o - AccessKey SecretKey /.**
```
Get-STSSessionToken
```
**Output:**
```
AccessKeyId Expiration SecretAccessKey SessionToken
----------- ---------- --------------- ------------
EXAMPLEACCESSKEYID 2/16/2015 9:12:28 PM examplesecretaccesskey... SamPleTokeN.....
```
**Esempio 2: restituisce un’istanza `Amazon.RuntimeAWSCredentials` contenente credenziali temporanee valide per un’ora. Le credenziali utilizzate per effettuare la richiesta vengono ottenute dal profilo specificato.**
```
Get-STSSessionToken -DurationInSeconds 3600 -ProfileName myprofile
```
**Output:**
```
AccessKeyId Expiration SecretAccessKey SessionToken
----------- ---------- --------------- ------------
EXAMPLEACCESSKEYID 2/16/2015 9:12:28 PM examplesecretaccesskey... SamPleTokeN.....
```
**Esempio 3: restituisce un’istanza `Amazon.RuntimeAWSCredentials` contenente credenziali temporanee valide per un’ora utilizzando il numero di identificazione del dispositivo MFA associato all’account le cui credenziali sono specificate nel profilo ’myprofilename’ e il valore fornito dal dispositivo.**
```
Get-STSSessionToken -DurationInSeconds 3600 -ProfileName myprofile -SerialNumber YourMFADeviceSerialNumber -TokenCode 123456
```
**Output:**
```
AccessKeyId Expiration SecretAccessKey SessionToken
----------- ---------- --------------- ------------
EXAMPLEACCESSKEYID 2/16/2015 9:12:28 PM examplesecretaccesskey... SamPleTokeN.....
```
+ Per i dettagli sull'API, vedere [GetSessionToken](https://docs.aws.amazon.com/powershell/v5/reference)in *AWS Strumenti per PowerShell Cmdlet Reference* (V5).
------
#### [ Python ]
**SDK per Python (Boto3)**
C'è di più su. GitHub Trova l'esempio completo e scopri di più sulla configurazione e l'esecuzione nel [Repository di esempi di codice AWS](https://github.com/awsdocs/aws-doc-sdk-examples/tree/main/python/example_code/sts#code-examples).
Recupera un token di sessione passando un token MFA e utilizzalo per elencare i bucket Amazon S3 per l’account.
```
def list_buckets_with_session_token_with_mfa(mfa_serial_number, mfa_totp, sts_client):
"""
Gets a session token with MFA credentials and uses the temporary session
credentials to list Amazon S3 buckets.
Requires an MFA device serial number and token.
:param mfa_serial_number: The serial number of the MFA device. For a virtual MFA
device, this is an Amazon Resource Name (ARN).
:param mfa_totp: A time-based, one-time password issued by the MFA device.
:param sts_client: A Boto3 STS instance that has permission to assume the role.
"""
if mfa_serial_number is not None:
response = sts_client.get_session_token(
SerialNumber=mfa_serial_number, TokenCode=mfa_totp
)
else:
response = sts_client.get_session_token()
temp_credentials = response["Credentials"]
s3_resource = boto3.resource(
"s3",
aws_access_key_id=temp_credentials["AccessKeyId"],
aws_secret_access_key=temp_credentials["SecretAccessKey"],
aws_session_token=temp_credentials["SessionToken"],
)
print(f"Buckets for the account:")
for bucket in s3_resource.buckets.all():
print(bucket.name)
```
+ Per i dettagli sull'API, consulta [GetSessionToken AWS](https://docs.aws.amazon.com/goto/boto3/sts-2011-06-15/GetSessionToken)*SDK for Python (Boto3) API Reference*.
------
## AssumeRole Chiamate con autenticazione MFA
I seguenti esempi mostrano come chiamare `AssumeRole` e passare le informazioni sull'autenticazione MFA. Le credenziali di sicurezza temporanee restituite da `AssumeRole` vengono quindi utilizzate per elencare tutti i bucket Amazon S3 nell'account.
Per ulteriori informazioni su questo scenario, consulta [Scenario: Protezione MFA per la delega tra account](id_credentials_mfa_configure-api-require.md#MFAProtectedAPI-cross-account-delegation).
Gli esempi di codice seguenti mostrano come utilizzare `AssumeRole`.
------
#### [ .NET ]
**SDK per .NET**
C'è altro da fare. GitHub Trova l'esempio completo e scopri di più sulla configurazione e l'esecuzione nel [Repository di esempi di codice AWS](https://github.com/awsdocs/aws-doc-sdk-examples/tree/main/dotnetv3/STS#code-examples).
```
using System;
using System.Threading.Tasks;
using Amazon;
using Amazon.SecurityToken;
using Amazon.SecurityToken.Model;
namespace AssumeRoleExample
{
class AssumeRole
{
///
/// This example shows how to use the AWS Security Token
/// Service (AWS STS) to assume an IAM role.
///
/// NOTE: It is important that the role that will be assumed has a
/// trust relationship with the account that will assume the role.
///
/// Before you run the example, you need to create the role you want to
/// assume and have it trust the IAM account that will assume that role.
///
/// See https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create.html
/// for help in working with roles.
///
// A region property may be used if the profile or credentials loaded do not specify a region,
// or to use a specific region.
private static readonly RegionEndpoint REGION = RegionEndpoint.USWest2;
static async Task Main()
{
// Create the SecurityToken client and then display the identity of the
// default user.
var roleArnToAssume = "arn:aws:iam::123456789012:role/testAssumeRole";
var client = new Amazon.SecurityToken.AmazonSecurityTokenServiceClient(REGION);
// Get and display the information about the identity of the default user.
var callerIdRequest = new GetCallerIdentityRequest();
var caller = await client.GetCallerIdentityAsync(callerIdRequest);
Console.WriteLine($"Original Caller: {caller.Arn}");
// Create the request to use with the AssumeRoleAsync call.
var assumeRoleReq = new AssumeRoleRequest()
{
DurationSeconds = 1600,
RoleSessionName = "Session1",
RoleArn = roleArnToAssume
};
var assumeRoleRes = await client.AssumeRoleAsync(assumeRoleReq);
// Now create a new client based on the credentials of the caller assuming the role.
var client2 = new AmazonSecurityTokenServiceClient(credentials: assumeRoleRes.Credentials, REGION);
// Get and display information about the caller that has assumed the defined role.
var caller2 = await client2.GetCallerIdentityAsync(callerIdRequest);
Console.WriteLine($"AssumedRole Caller: {caller2.Arn}");
}
}
}
```
+ Per i dettagli sull'API, consulta la [AssumeRole](https://docs.aws.amazon.com/goto/DotNetSDKV3/sts-2011-06-15/AssumeRole)sezione *AWS SDK per .NET API Reference*.
------
#### [ Bash ]
**AWS CLI con lo script Bash**
C'è altro da fare. GitHub Trova l'esempio completo e scopri di più sulla configurazione e l'esecuzione nel [Repository di esempi di codice AWS](https://github.com/awsdocs/aws-doc-sdk-examples/tree/main/aws-cli/bash-linux/iam#code-examples).
```
###############################################################################
# function iecho
#
# This function enables the script to display the specified text only if
# the global variable $VERBOSE is set to true.
###############################################################################
function iecho() {
if [[ $VERBOSE == true ]]; then
echo "$@"
fi
}
###############################################################################
# function errecho
#
# This function outputs everything sent to it to STDERR (standard error output).
###############################################################################
function errecho() {
printf "%s\n" "$*" 1>&2
}
###############################################################################
# function sts_assume_role
#
# This function assumes a role in the AWS account and returns the temporary
# credentials.
#
# Parameters:
# -n role_session_name -- The name of the session.
# -r role_arn -- The ARN of the role to assume.
#
# Returns:
# [access_key_id, secret_access_key, session_token]
# And:
# 0 - If successful.
# 1 - If an error occurred.
###############################################################################
function sts_assume_role() {
local role_session_name role_arn response
local option OPTARG # Required to use getopts command in a function.
# bashsupport disable=BP5008
function usage() {
echo "function sts_assume_role"
echo "Assumes a role in the AWS account and returns the temporary credentials:"
echo " -n role_session_name -- The name of the session."
echo " -r role_arn -- The ARN of the role to assume."
echo ""
}
while getopts n:r:h option; do
case "${option}" in
n) role_session_name=${OPTARG} ;;
r) role_arn=${OPTARG} ;;
h)
usage
return 0
;;
\?)
echo "Invalid parameter"
usage
return 1
;;
esac
done
response=$(aws sts assume-role \
--role-session-name "$role_session_name" \
--role-arn "$role_arn" \
--output text \
--query "Credentials.[AccessKeyId, SecretAccessKey, SessionToken]")
local error_code=${?}
if [[ $error_code -ne 0 ]]; then
aws_cli_error_log $error_code
errecho "ERROR: AWS reports create-role operation failed.\n$response"
return 1
fi
echo "$response"
return 0
}
```
+ Per i dettagli sull'API, consulta [AssumeRole AWS CLI](https://docs.aws.amazon.com/goto/aws-cli/sts-2011-06-15/AssumeRole)*Command Reference*.
------
#### [ C\$1\$1 ]
**SDK per C\$1\$1**
C'è altro su GitHub. Trova l'esempio completo e scopri di più sulla configurazione e l'esecuzione nel [Repository di esempi di codice AWS](https://github.com/awsdocs/aws-doc-sdk-examples/tree/main/cpp/example_code/sts#code-examples).
```
bool AwsDoc::STS::assumeRole(const Aws::String &roleArn,
const Aws::String &roleSessionName,
const Aws::String &externalId,
Aws::Auth::AWSCredentials &credentials,
const Aws::Client::ClientConfiguration &clientConfig) {
Aws::STS::STSClient sts(clientConfig);
Aws::STS::Model::AssumeRoleRequest sts_req;
sts_req.SetRoleArn(roleArn);
sts_req.SetRoleSessionName(roleSessionName);
sts_req.SetExternalId(externalId);
const Aws::STS::Model::AssumeRoleOutcome outcome = sts.AssumeRole(sts_req);
if (!outcome.IsSuccess()) {
std::cerr << "Error assuming IAM role. " <<
outcome.GetError().GetMessage() << std::endl;
}
else {
std::cout << "Credentials successfully retrieved." << std::endl;
const Aws::STS::Model::AssumeRoleResult result = outcome.GetResult();
const Aws::STS::Model::Credentials &temp_credentials = result.GetCredentials();
// Store temporary credentials in return argument.
// Note: The credentials object returned by assumeRole differs
// from the AWSCredentials object used in most situations.
credentials.SetAWSAccessKeyId(temp_credentials.GetAccessKeyId());
credentials.SetAWSSecretKey(temp_credentials.GetSecretAccessKey());
credentials.SetSessionToken(temp_credentials.GetSessionToken());
}
return outcome.IsSuccess();
}
```
+ Per i dettagli sull'API, consulta la [AssumeRole](https://docs.aws.amazon.com/goto/SdkForCpp/sts-2011-06-15/AssumeRole)sezione *AWS SDK per C\$1\$1 API Reference*.
------
#### [ CLI ]
**AWS CLI**
**Come assumere un ruolo**
Il comando `assume-role` seguente recupera un set di credenziali a breve termine per il ruolo IAM `s3-access-example`.
```
aws sts assume-role \
--role-arn arn:aws:iam::123456789012:role/xaccounts3access \
--role-session-name s3-access-example
```
Output:
```
{
"AssumedRoleUser": {
"AssumedRoleId": "AROA3XFRBF535PLBIFPI4:s3-access-example",
"Arn": "arn:aws:sts::123456789012:assumed-role/xaccounts3access/s3-access-example"
},
"Credentials": {
"SecretAccessKey": "9drTJvcXLB89EXAMPLELB8923FB892xMFI",
"SessionToken": "AQoXdzELDDY//////////wEaoAK1wvxJY12r2IrDFT2IvAzTCn3zHoZ7YNtpiQLF0MqZye/qwjzP2iEXAMPLEbw/m3hsj8VBTkPORGvr9jM5sgP+w9IZWZnU+LWhmg+a5fDi2oTGUYcdg9uexQ4mtCHIHfi4citgqZTgco40Yqr4lIlo4V2b2Dyauk0eYFNebHtYlFVgAUj+7Indz3LU0aTWk1WKIjHmmMCIoTkyYp/k7kUG7moeEYKSitwQIi6Gjn+nyzM+PtoA3685ixzv0R7i5rjQi0YE0lf1oeie3bDiNHncmzosRM6SFiPzSvp6h/32xQuZsjcypmwsPSDtTPYcs0+YN/8BRi2/IcrxSpnWEXAMPLEXSDFTAQAM6Dl9zR0tXoybnlrZIwMLlMi1Kcgo5OytwU=",
"Expiration": "2016-03-15T00:05:07Z",
"AccessKeyId": "ASIAJEXAMPLEXEG2JICEA"
}
}
```
L’output del comando contiene una chiave di accesso, una chiave segreta e un token di sessione che puoi utilizzare per l’autenticazione in AWS.
Per l'utilizzo della AWS CLI, è possibile impostare un profilo denominato associato a un ruolo. Quando utilizzi il profilo, la AWS CLI chiamerà assume-role e gestirà le credenziali per te. *Per ulteriori informazioni, consulta [Utilizzare un ruolo IAM nella CLI nella AWS CLI](https://docs.aws.amazon.com/cli/latest/userguide/cli-configure-role.html) User Guide AWS .*
+ Per i dettagli sull'API, consulta *AWS CLI Command [AssumeRole](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/sts/assume-role.html)Reference*.
------
#### [ Java ]
**SDK per Java 2.x**
C'è altro su GitHub. Trova l'esempio completo e scopri di più sulla configurazione e l'esecuzione nel [Repository di esempi di codice AWS](https://github.com/awsdocs/aws-doc-sdk-examples/tree/main/javav2/example_code/sts#code-examples).
```
import software.amazon.awssdk.regions.Region;
import software.amazon.awssdk.services.sts.StsClient;
import software.amazon.awssdk.services.sts.model.AssumeRoleRequest;
import software.amazon.awssdk.services.sts.model.StsException;
import software.amazon.awssdk.services.sts.model.AssumeRoleResponse;
import software.amazon.awssdk.services.sts.model.Credentials;
import java.time.Instant;
import java.time.ZoneId;
import java.time.format.DateTimeFormatter;
import java.time.format.FormatStyle;
import java.util.Locale;
/**
* To make this code example work, create a Role that you want to assume.
* Then define a Trust Relationship in the AWS Console. You can use this as an
* example:
*
* {
* "Version":"2012-10-17",
* "Statement": [
* {
* "Effect": "Allow",
* "Principal": {
* "AWS": ""
* },
* "Action": "sts:AssumeRole"
* }
* ]
* }
*
* For more information, see "Editing the Trust Relationship for an Existing
* Role" in the AWS Directory Service guide.
*
* Also, set up your development environment, including your credentials.
*
* For information, see this documentation topic:
*
* https://docs.aws.amazon.com/sdk-for-java/latest/developer-guide/get-started.html
*/
public class AssumeRole {
public static void main(String[] args) {
final String usage = """
Usage:
\s
Where:
roleArn - The Amazon Resource Name (ARN) of the role to assume (for example, arn:aws:iam::000008047983:role/s3role).\s
roleSessionName - An identifier for the assumed role session (for example, mysession).\s
""";
if (args.length != 2) {
System.out.println(usage);
System.exit(1);
}
String roleArn = args[0];
String roleSessionName = args[1];
Region region = Region.US_EAST_1;
StsClient stsClient = StsClient.builder()
.region(region)
.build();
assumeGivenRole(stsClient, roleArn, roleSessionName);
stsClient.close();
}
public static void assumeGivenRole(StsClient stsClient, String roleArn, String roleSessionName) {
try {
AssumeRoleRequest roleRequest = AssumeRoleRequest.builder()
.roleArn(roleArn)
.roleSessionName(roleSessionName)
.build();
AssumeRoleResponse roleResponse = stsClient.assumeRole(roleRequest);
Credentials myCreds = roleResponse.credentials();
// Display the time when the temp creds expire.
Instant exTime = myCreds.expiration();
String tokenInfo = myCreds.sessionToken();
// Convert the Instant to readable date.
DateTimeFormatter formatter = DateTimeFormatter.ofLocalizedDateTime(FormatStyle.SHORT)
.withLocale(Locale.US)
.withZone(ZoneId.systemDefault());
formatter.format(exTime);
System.out.println("The token " + tokenInfo + " expires on " + exTime);
} catch (StsException e) {
System.err.println(e.getMessage());
System.exit(1);
}
}
}
```
+ Per i dettagli sull'API, consulta la [AssumeRole](https://docs.aws.amazon.com/goto/SdkForJavaV2/sts-2011-06-15/AssumeRole)sezione *AWS SDK for Java 2.x API Reference*.
------
#### [ JavaScript ]
**SDK per JavaScript (v3)**
C'è altro da fare. GitHub Trova l'esempio completo e scopri di più sulla configurazione e l'esecuzione nel [Repository di esempi di codice AWS](https://github.com/awsdocs/aws-doc-sdk-examples/tree/main/javascriptv3/example_code/sts#code-examples).
Crea il client.
```
import { STSClient } from "@aws-sdk/client-sts";
// Set the AWS Region.
const REGION = "us-east-1";
// Create an AWS STS service client object.
export const client = new STSClient({ region: REGION });
```
Assumi il ruolo IAM.
```
import { AssumeRoleCommand } from "@aws-sdk/client-sts";
import { client } from "../libs/client.js";
export const main = async () => {
try {
// Returns a set of temporary security credentials that you can use to
// access Amazon Web Services resources that you might not normally
// have access to.
const command = new AssumeRoleCommand({
// The Amazon Resource Name (ARN) of the role to assume.
RoleArn: "ROLE_ARN",
// An identifier for the assumed role session.
RoleSessionName: "session1",
// The duration, in seconds, of the role session. The value specified
// can range from 900 seconds (15 minutes) up to the maximum session
// duration set for the role.
DurationSeconds: 900,
});
const response = await client.send(command);
console.log(response);
} catch (err) {
console.error(err);
}
};
```
+ Per i dettagli sull'API, consulta la [AssumeRole](https://docs.aws.amazon.com/AWSJavaScriptSDK/v3/latest/client/sts/command/AssumeRoleCommand)sezione *AWS SDK per JavaScript API Reference*.
**SDK per JavaScript (v2)**
C'è altro da fare. GitHub Trova l'esempio completo e scopri di più sulla configurazione e l'esecuzione nel [Repository di esempi di codice AWS](https://github.com/awsdocs/aws-doc-sdk-examples/tree/main/javascript/example_code/sts#code-examples).
```
// Load the AWS SDK for Node.js
const AWS = require("aws-sdk");
// Set the region
AWS.config.update({ region: "REGION" });
var roleToAssume = {
RoleArn: "arn:aws:iam::123456789012:role/RoleName",
RoleSessionName: "session1",
DurationSeconds: 900,
};
var roleCreds;
// Create the STS service object
var sts = new AWS.STS({ apiVersion: "2011-06-15" });
//Assume Role
sts.assumeRole(roleToAssume, function (err, data) {
if (err) console.log(err, err.stack);
else {
roleCreds = {
accessKeyId: data.Credentials.AccessKeyId,
secretAccessKey: data.Credentials.SecretAccessKey,
sessionToken: data.Credentials.SessionToken,
};
stsGetCallerIdentity(roleCreds);
}
});
//Get Arn of current identity
function stsGetCallerIdentity(creds) {
var stsParams = { credentials: creds };
// Create STS service object
var sts = new AWS.STS(stsParams);
sts.getCallerIdentity({}, function (err, data) {
if (err) {
console.log(err, err.stack);
} else {
console.log(data.Arn);
}
});
}
```
+ Per i dettagli sull'API, consulta la [AssumeRole](https://docs.aws.amazon.com/goto/AWSJavaScriptSDK/sts-2011-06-15/AssumeRole)sezione *AWS SDK per JavaScript API Reference*.
------
#### [ PowerShell ]
**Strumenti per PowerShell V4**
**Esempio 1: restituisce un set di credenziali temporanee (chiave di accesso, chiave segreta e token di sessione) che possono essere utilizzate per un'ora per accedere a AWS risorse a cui l'utente richiedente potrebbe normalmente non avere accesso. Le credenziali restituite hanno le autorizzazioni consentite dalla policy di accesso del ruolo assunto e dalla policy fornita (non è possibile utilizzare la policy fornita per concedere autorizzazioni superiori a quelle definite dalla policy di accesso del ruolo assunto).**
```
Use-STSRole -RoleSessionName "Bob" -RoleArn "arn:aws:iam::123456789012:role/demo" -Policy "...JSON policy..." -DurationInSeconds 3600
```
**Esempio 2: restituisce un set di credenziali temporanee, valide per un’ora, con le stesse autorizzazioni definite nella policy di accesso del ruolo assunto.**
```
Use-STSRole -RoleSessionName "Bob" -RoleArn "arn:aws:iam::123456789012:role/demo" -DurationInSeconds 3600
```
**Esempio 3: restituisce un set di credenziali temporanee che forniscono il numero di serie e il token generato da un MFA associato alle credenziali utente utilizzate per eseguire il cmdlet.**
```
Use-STSRole -RoleSessionName "Bob" -RoleArn "arn:aws:iam::123456789012:role/demo" -DurationInSeconds 3600 -SerialNumber "GAHT12345678" -TokenCode "123456"
```
**Esempio 4: restituisce un set di credenziali temporanee che hanno assunto un ruolo definito in un account cliente. Per ogni ruolo che la terza parte può assumere, l'account cliente deve creare un ruolo utilizzando un identificatore che deve essere passato nel ExternalId parametro - ogni volta che viene assunto il ruolo.**
```
Use-STSRole -RoleSessionName "Bob" -RoleArn "arn:aws:iam::123456789012:role/demo" -DurationInSeconds 3600 -ExternalId "ABC123"
```
+ Per i dettagli sull'API, vedere [AssumeRole](https://docs.aws.amazon.com/powershell/v4/reference)in *AWS Strumenti per PowerShell Cmdlet Reference (*V4).
**Strumenti per V5 PowerShell **
**Esempio 1: restituisce un set di credenziali temporanee (chiave di accesso, chiave segreta e token di sessione) che possono essere utilizzate per un'ora per accedere a AWS risorse a cui l'utente richiedente potrebbe normalmente non avere accesso. Le credenziali restituite hanno le autorizzazioni consentite dalla policy di accesso del ruolo assunto e dalla policy fornita (non è possibile utilizzare la policy fornita per concedere autorizzazioni superiori a quelle definite dalla policy di accesso del ruolo assunto).**
```
Use-STSRole -RoleSessionName "Bob" -RoleArn "arn:aws:iam::123456789012:role/demo" -Policy "...JSON policy..." -DurationInSeconds 3600
```
**Esempio 2: restituisce un set di credenziali temporanee, valide per un’ora, con le stesse autorizzazioni definite nella policy di accesso del ruolo assunto.**
```
Use-STSRole -RoleSessionName "Bob" -RoleArn "arn:aws:iam::123456789012:role/demo" -DurationInSeconds 3600
```
**Esempio 3: restituisce un set di credenziali temporanee che forniscono il numero di serie e il token generato da un MFA associato alle credenziali utente utilizzate per eseguire il cmdlet.**
```
Use-STSRole -RoleSessionName "Bob" -RoleArn "arn:aws:iam::123456789012:role/demo" -DurationInSeconds 3600 -SerialNumber "GAHT12345678" -TokenCode "123456"
```
**Esempio 4: restituisce un set di credenziali temporanee che hanno assunto un ruolo definito in un account cliente. Per ogni ruolo che la terza parte può assumere, l'account cliente deve creare un ruolo utilizzando un identificatore che deve essere passato nel ExternalId parametro - ogni volta che viene assunto il ruolo.**
```
Use-STSRole -RoleSessionName "Bob" -RoleArn "arn:aws:iam::123456789012:role/demo" -DurationInSeconds 3600 -ExternalId "ABC123"
```
+ Per i dettagli sull'API, vedere [AssumeRole](https://docs.aws.amazon.com/powershell/v5/reference)in *AWS Strumenti per PowerShell Cmdlet Reference (*V5).
------
#### [ Python ]
**SDK per Python (Boto3)**
C'è di più su. GitHub Trova l'esempio completo e scopri di più sulla configurazione e l'esecuzione nel [Repository di esempi di codice AWS](https://github.com/awsdocs/aws-doc-sdk-examples/tree/main/python/example_code/sts#code-examples).
Assumi un ruolo IAM che richiede un token MFA e utilizza le credenziali temporanee per elencare i bucket Amazon S3 per l’account.
```
def list_buckets_from_assumed_role_with_mfa(
assume_role_arn, session_name, mfa_serial_number, mfa_totp, sts_client
):
"""
Assumes a role from another account and uses the temporary credentials from
that role to list the Amazon S3 buckets that are owned by the other account.
Requires an MFA device serial number and token.
The assumed role must grant permission to list the buckets in the other account.
:param assume_role_arn: The Amazon Resource Name (ARN) of the role that
grants access to list the other account's buckets.
:param session_name: The name of the STS session.
:param mfa_serial_number: The serial number of the MFA device. For a virtual MFA
device, this is an ARN.
:param mfa_totp: A time-based, one-time password issued by the MFA device.
:param sts_client: A Boto3 STS instance that has permission to assume the role.
"""
response = sts_client.assume_role(
RoleArn=assume_role_arn,
RoleSessionName=session_name,
SerialNumber=mfa_serial_number,
TokenCode=mfa_totp,
)
temp_credentials = response["Credentials"]
print(f"Assumed role {assume_role_arn} and got temporary credentials.")
s3_resource = boto3.resource(
"s3",
aws_access_key_id=temp_credentials["AccessKeyId"],
aws_secret_access_key=temp_credentials["SecretAccessKey"],
aws_session_token=temp_credentials["SessionToken"],
)
print(f"Listing buckets for the assumed role's account:")
for bucket in s3_resource.buckets.all():
print(bucket.name)
```
+ Per i dettagli sull'API, consulta [AssumeRole AWS](https://docs.aws.amazon.com/goto/boto3/sts-2011-06-15/AssumeRole)*SDK for Python (Boto3) API Reference*.
------
#### [ Ruby ]
**SDK per Ruby**
C'è di più su. GitHub Trova l'esempio completo e scopri di più sulla configurazione e l'esecuzione nel [Repository di esempi di codice AWS](https://github.com/awsdocs/aws-doc-sdk-examples/tree/main/ruby/example_code/iam#code-examples).
```
# Creates an AWS Security Token Service (AWS STS) client with specified credentials.
# This is separated into a factory function so that it can be mocked for unit testing.
#
# @param key_id [String] The ID of the access key used by the STS client.
# @param key_secret [String] The secret part of the access key used by the STS client.
def create_sts_client(key_id, key_secret)
Aws::STS::Client.new(access_key_id: key_id, secret_access_key: key_secret)
end
# Gets temporary credentials that can be used to assume a role.
#
# @param role_arn [String] The ARN of the role that is assumed when these credentials
# are used.
# @param sts_client [AWS::STS::Client] An AWS STS client.
# @return [Aws::AssumeRoleCredentials] The credentials that can be used to assume the role.
def assume_role(role_arn, sts_client)
credentials = Aws::AssumeRoleCredentials.new(
client: sts_client,
role_arn: role_arn,
role_session_name: 'create-use-assume-role-scenario'
)
@logger.info("Assumed role '#{role_arn}', got temporary credentials.")
credentials
end
```
+ Per i dettagli sull'API, consulta la [AssumeRole](https://docs.aws.amazon.com/goto/SdkForRubyV3/sts-2011-06-15/AssumeRole)sezione *AWS SDK per Ruby API Reference*.
------
#### [ Rust ]
**SDK per Rust**
C'è altro da fare. GitHub Trova l'esempio completo e scopri di più sulla configurazione e l'esecuzione nel [Repository di esempi di codice AWS](https://github.com/awsdocs/aws-doc-sdk-examples/tree/main/rustv1/examples/sts/#code-examples).
```
async fn assume_role(config: &SdkConfig, role_name: String, session_name: Option) {
let provider = aws_config::sts::AssumeRoleProvider::builder(role_name)
.session_name(session_name.unwrap_or("rust_sdk_example_session".into()))
.configure(config)
.build()
.await;
let local_config = aws_config::from_env()
.credentials_provider(provider)
.load()
.await;
let client = Client::new(&local_config);
let req = client.get_caller_identity();
let resp = req.send().await;
match resp {
Ok(e) => {
println!("UserID : {}", e.user_id().unwrap_or_default());
println!("Account: {}", e.account().unwrap_or_default());
println!("Arn : {}", e.arn().unwrap_or_default());
}
Err(e) => println!("{:?}", e),
}
}
```
+ Per i dettagli sulle API, consulta la [AssumeRole](https://docs.rs/aws-sdk-sts/latest/aws_sdk_sts/client/struct.Client.html#method.assume_role)guida di *riferimento all'API AWS SDK for Rust*.
------
#### [ Swift ]
**SDK per Swift**
C'è altro da fare. GitHub Trova l'esempio completo e scopri di più sulla configurazione e l'esecuzione nel [Repository di esempi di codice AWS](https://github.com/awsdocs/aws-doc-sdk-examples/tree/main/swift/example_code/iam#code-examples).
```
import AWSSTS
public func assumeRole(role: IAMClientTypes.Role, sessionName: String)
async throws -> STSClientTypes.Credentials
{
let input = AssumeRoleInput(
roleArn: role.arn,
roleSessionName: sessionName
)
do {
let output = try await stsClient.assumeRole(input: input)
guard let credentials = output.credentials else {
throw ServiceHandlerError.authError
}
return credentials
} catch {
print("Error assuming role: ", dump(error))
throw error
}
}
```
+ Per i dettagli sull'API, consulta la [AssumeRole](https://sdk.amazonaws.com/swift/api/awssts/latest/documentation/awssts/stsclient/assumerole(input:))guida di riferimento all'*API AWS SDK for Swift*.
------
# Credenziali specifiche del servizio per gli utenti IAM
Le credenziali specifiche del servizio sono meccanismi di autenticazione specializzati progettati per servizi specifici. AWS Queste credenziali forniscono un'autenticazione semplificata rispetto alle AWS credenziali standard e sono personalizzate in base ai requisiti di autenticazione dei singoli servizi. AWS A differenza delle chiavi di accesso, che possono essere utilizzate su più AWS servizi, le credenziali specifiche del servizio sono progettate per essere utilizzate solo con il servizio per il quale sono state create. Questo approccio mirato migliora la sicurezza limitando l’ambito delle credenziali.
Generalmente, le credenziali specifiche del servizio sono costituite da una coppia di nome utente e password o da chiavi API specializzate formattate in base ai requisiti del servizio specifico. Quando si creano credenziali specifiche per un servizio, queste sono attive per impostazione predefinita e possono essere utilizzate immediatamente. Puoi avere un massimo di due set di credenziali specifiche del servizio per ogni servizio supportato per utente IAM. Questo limite consente di mantenere un set attivo mentre si passa a un nuovo set quando necessario. AWS attualmente supporta credenziali specifiche del servizio per i seguenti servizi:
## Quando utilizzare le credenziali specifiche del servizio
Le credenziali specifiche del servizio sono destinate alla compatibilità con librerie SDKs, strumenti o applicazioni di terze parti che non sono nativamente compatibili con le credenziali, oppure. AWS AWS SDKs AWS APIs Tali casi d'uso includono la migrazione a AWS servizi da infrastrutture ospitate autonomamente o da servizi ospitati da altri provider.
Quando si parte da zero, e laddove possibile, si consiglia di utilizzare credenziali AWS temporanee, come quelle fornite da un ruolo IAM, per l'autenticazione con un AWS servizio utilizzando un AWS SDK o una libreria che supporta credenziali temporanee. AWS
## Rotazione delle credenziali specifiche del servizio
Come best practice di sicurezza, si consiglia di ruotare regolarmente le credenziali specifiche del servizio. Per ruotare le credenziali senza interrompere le applicazioni:
1. Creare un secondo set di credenziali specifiche del servizio per lo stesso servizio e lo stesso utente IAM
1. Aggiornare tutte le applicazioni per fare in modo che utilizzino le nuove credenziali e verificare che funzionino correttamente
1. Cambiare lo stato delle credenziali originali in “Inattiva”
1. Verificare che tutte le applicazioni funzionino ancora correttamente
1. Eliminare le credenziali specifiche del servizio inattive quando si ha la certezza che non siano più necessarie
## Monitoraggio delle credenziali specifiche del servizio
Puoi utilizzarlo AWS CloudTrail per monitorare l'uso di credenziali specifiche del servizio nel tuo account. AWS Per visualizzare CloudTrail gli eventi relativi all'utilizzo delle credenziali specifiche del servizio, esamina CloudTrail i registri per verificare la presenza di eventi del servizio in cui vengono utilizzate le credenziali. Per ulteriori informazioni, consulta [Registrazione delle chiamate IAM e AWS STS API con AWS CloudTrail](cloudtrail-integration.md).
Per una maggiore sicurezza, prendi in considerazione la possibilità di impostare CloudWatch allarmi per informarti di specifici modelli di utilizzo delle credenziali che potrebbero indicare accessi non autorizzati o altri problemi di sicurezza. Per ulteriori informazioni, consulta [Monitoring CloudTrail Log Files with Amazon CloudWatch Logs](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/monitor-cloudtrail-log-files-with-cloudwatch-logs.html) nella *Guida per l'AWS CloudTrail utente*.
I seguenti argomenti forniscono informazioni sulle credenziali specifiche del servizio.
**Topics**
+ [Quando utilizzare le credenziali specifiche del servizio](#id_credentials_service-specific-creds-usecase)
+ [Rotazione delle credenziali specifiche del servizio](#id_credentials_service-specific-creds-rotation)
+ [Monitoraggio delle credenziali specifiche del servizio](#id_credentials_service-specific-creds-monitoring)
+ [Chiavi API per Amazon Bedrock e Amazon Logs CloudWatch](id_credentials_bedrock_cloudwatchlogs.md)
+ [Utilizzare IAM con Amazon Keyspaces (per Apache Cassandra)](id_credentials_keyspaces.md)
# Chiavi API per Amazon Bedrock e Amazon Logs CloudWatch
**Nota**
Le chiavi API di Amazon CloudWatch Logs sono attualmente disponibili in anteprima e lo saranno a livello generale nelle prossime settimane. Le chiavi API di Amazon CloudWatch Logs sono molto simili alle chiavi API a lungo termine di Amazon Bedrock descritte in questa pagina. Per ulteriori informazioni sulle chiavi API a lungo termine di Amazon CloudWatch Logs, consulta [Invio di log ad Amazon CloudWatch Logs utilizzando](https://docs.aws.amazon.com/AmazonCloudWatch/latest/logs/CWL_HLC_Endpoint.html) l'endpoint HLC.
Amazon Bedrock è un servizio completamente gestito che offre i modelli di fondazione delle aziende leader nel settore dell’IA e di Amazon. Puoi accedere ad Amazon Bedrock tramite Console di gestione AWS e a livello di codice utilizzando l'API AWS CLI, o. AWS Quando effettui richieste programmatiche ad Amazon Bedrock, puoi autenticarti utilizzando [credenziali di sicurezza temporanee](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp_request.html) o chiavi API di Amazon Bedrock. Amazon Bedrock supporta due tipi di chiavi API:
+ **Chiavi API a breve termine**: una chiave API a breve termine è un URL prefirmato che utilizza AWS la versione 4 di Signature. Le chiavi API a breve termine condividono le stesse autorizzazioni e la stessa scadenza delle credenziali dell’identità che genera la chiave API e sono valide per un massimo di 12 ore o per il tempo rimanente della sessione della console, a seconda di quale tra i due sia più breve. Per generare chiavi API a breve termine puoi utilizzare la console Amazon Bedrock, il pacchetto Python `aws-bedrock-token-generator` e i pacchetti per altri linguaggi di programmazione. Per ulteriori informazioni, consulta [Generate Amazon Bedrock API keys for easy access to the Amazon Bedrock API](https://docs.aws.amazon.com/bedrock/latest/userguide/api-keys.html) nella *Guida per l’utente di Amazon Bedrock*.
+ **Chiavi API a lungo termine**: le chiavi API a lungo termine sono associate a un utente IAM e vengono generate utilizzando [credenziali specifiche del servizio](id_credentials_service-specific-creds.md) IAM. Queste credenziali sono progettate per essere utilizzate solo con Amazon Bedrock e migliorano la sicurezza limitando l’ambito delle credenziali. Per le chiavi API a lungo termine puoi impostare una scadenza. Puoi utilizzare la console IAM o Amazon Bedrock, la AWS CLI o AWS l'API per generare chiavi API a lungo termine.
Un utente IAM può avere fino a due chiavi API a lungo termine per Amazon Bedrock, che ti aiutano a implementare pratiche sicure di rotazione delle chiavi.
Quando generi una chiave API a lungo termine, la policy AWS gestita [AmazonBedrockLimitedAccess](https://docs.aws.amazon.com/bedrock/latest/userguide/security-iam-awsmanpol.html#security-iam-awsmanpol-AmazonBedrockLimitedAccess)viene automaticamente allegata all'utente IAM. Questa policy concede l’accesso alle operazioni di base dell’API di Amazon Bedrock. Se hai bisogno di un accesso aggiuntivo ad Amazon Bedrock, puoi modificare le autorizzazioni per l’utente IAM. Per informazioni sulla modifica delle autorizzazioni, consulta [Aggiunta e rimozione di autorizzazioni per identità IAM](access_policies_manage-attach-detach.md). Per ulteriori informazioni su come usare una chiave Amazon Bedrock, consulta [Use an Amazon Bedrock API key](https://docs.aws.amazon.com/bedrock/latest/userguide/api-keys-use.html) nella *Guida per l’utente di Amazon Bedrock*.
**Nota**
Le chiavi API a lungo termine presentano un rischio di sicurezza maggiore rispetto alle chiavi API a breve termine. Quando possibile, consigliamo di utilizzare chiavi API a breve termine o credenziali di sicurezza temporanee. Se utilizzi chiavi API a lungo termine, ti consigliamo di implementare pratiche di rotazione delle chiavi a intervalli regolari.
## Prerequisiti
Prima di poter generare una chiave API a lungo termine di Amazon Bedrock dalla console IAM, devi soddisfare i seguenti prerequisiti:
+ Un utente IAM da associare alla chiave API a lungo termine. Per istruzioni su come creare un utente IAM, consulta [Crea un utente IAM nel tuo Account AWS](id_users_create.md).
+ Assicurati di disporre delle seguenti autorizzazioni relative alla policy IAM per gestire le credenziali specifiche del servizio per un utente IAM. La policy di esempio concede l’autorizzazione a creare, elencare, aggiornare, eliminare e reimpostare le credenziali specifiche del servizio. Sostituisci il valore `username` nell’elemento Resource con il nome dell’utente IAM per cui genererai le chiavi API Amazon Bedrock per:
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "ManageBedrockServiceSpecificCredentials",
"Effect": "Allow",
"Action": [
"iam:CreateServiceSpecificCredential",
"iam:ListServiceSpecificCredentials",
"iam:UpdateServiceSpecificCredential",
"iam:DeleteServiceSpecificCredential",
"iam:ResetServiceSpecificCredential"
],
"Resource": "arn:aws:iam::*:user/username"
}
]
}
```
------
## Generazione di una chiave API a lungo termine per Amazon Bedrock (console)
**Per generare una chiave API a lungo termine Amazon Bedrock (console)**
1. Accedi Console di gestione AWS e apri la console IAM all'indirizzo [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/).
1. Nel pannello di navigazione della console IAM, scegli **Utenti**.
1. Seleziona l’utente IAM per cui desideri generare le chiavi API a lungo termine di Amazon Bedrock.
1. Scegli la scheda **Credenziali di sicurezza**.
1. Nella sezione **Chiavi API per Amazon Bedrock**, scegli **Genera chiave API**.
1. Per **Scadenza della chiave API**, esegui una delle seguenti operazioni:
+ Seleziona una durata di scadenza della chiave API di **1**, **5**, **30**, **90** o **365** giorni.
+ Scegli **Durata personalizzata** per specificare una data di scadenza della chiave API personalizzata.
+ Seleziona **Non scade mai** (scelta non consigliata)
1. Scegli **Genera chiave API**.
1. Copia o scarica la tua chiave API. Questo è l’unico momento in cui è possibile visualizzare il valore della chiave API.
**Importante**
Archivia la chiave API in modo sicuro. Dopo aver chiuso la finestra di dialogo, non sarà possibile recuperare di nuovo la chiave API. Se perdi o dimentichi la chiave di accesso segreta, non potrai recuperarla. Dovrai invece creare una nuova chiave di accesso e rendere inattiva quella vecchia.
## Generazione di una chiave API a lungo termine per Amazon Bedrock (AWS CLI)
Per generare una chiave API a lungo termine di Amazon Bedrock utilizzando il AWS CLI, utilizza i seguenti passaggi:
1. Crea un utente IAM che verrà utilizzato con Amazon Bedrock utilizzando il comando [ create-user](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/iam/create-user.html):
```
aws iam create-user \
--user-name BedrockAPIKey_1
```
1. Allega la policy AWS gestita `AmazonBedrockLimitedAccess` all'utente Amazon Bedrock IAM utilizzando il [ attach-user-policy](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/iam/attach-user-policy.html)comando:
```
aws iam attach-user-policy --user-name BedrockAPIKey_1 \
--policy-arn arn:aws:iam::aws:policy/AmazonBedrockLimitedAccess
```
1. Genera la chiave API a lungo termine di Amazon Bedrock utilizzando il [ create-service-specific-credential](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/iam/create-service-specific-credential.html)comando. Per l’età delle credenziali, puoi specificare un valore compreso tra 1 e 36.600 giorni. Se non specifici l’età delle credenziali, la chiave API non scadrà.
Per generare una chiave API a lungo termine con una scadenza di 30 giorni:
```
aws iam create-service-specific-credential \
--user-name BedrockAPIKey_1 \
--service-name bedrock.amazonaws.com \
--credential-age-days 30
```
Il valore `ServiceApiKeyValue` restituito nella risposta è la chiave API Amazon Bedrock a lungo termine. Archivia il valore `ServiceApiKeyValue` in modo sicuro, poiché non potrai recuperarlo in un secondo momento.
### Elencare le chiavi API a lungo termine (AWS CLI)
Per elencare i metadati delle chiavi API a lungo termine di Amazon Bedrock per un utente specifico, usa il [ list-service-specific-credentials](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/iam/list-service-specific-credentials.html)comando con il `--user-name` parametro:
```
aws iam list-service-specific-credentials \
--service-name bedrock.amazonaws.com \
--user-name BedrockAPIKey_1
```
Per elencare tutti i metadati delle chiavi API a lungo termine di Amazon Bedrock nell'account, usa il [ list-service-specific-credentials](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/iam/list-service-specific-credentials.html)comando con il `--all-users` parametro:
```
aws iam list-service-specific-credentials \
--service-name bedrock.amazonaws.com \
--all-users
```
### Aggiornamento dello stato della chiave API a lungo termine (AWS CLI)
Per aggiornare lo stato di una chiave API a lungo termine per Amazon Bedrock, usa il [ update-service-specific-credential](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/iam/update-service-specific-credential.html)comando:
```
aws iam update-service-specific-credential \
--user-name "BedrockAPIKey_1" \
--service-specific-credential-id "ACCA1234EXAMPLE1234" \
--status Inactive|Active
```
## Generazione di una chiave API a lungo termine per Amazon Bedrock (AWS API)
Puoi utilizzare le operazioni API seguenti per generare e gestire chiavi API a lungo termine per Amazon Bedrock:
+ [https://docs.aws.amazon.com/IAM/latest/APIReference/API_CreateServiceSpecificCredential.html](https://docs.aws.amazon.com/IAM/latest/APIReference/API_CreateServiceSpecificCredential.html)
+ [https://docs.aws.amazon.com/IAM/latest/APIReference/API_ListServiceSpecificCredentials.html](https://docs.aws.amazon.com/IAM/latest/APIReference/API_ListServiceSpecificCredentials.html)
+ [https://docs.aws.amazon.com/IAM/latest/APIReference/API_UpdateServiceSpecificCredential.html](https://docs.aws.amazon.com/IAM/latest/APIReference/API_UpdateServiceSpecificCredential.html)
+ [https://docs.aws.amazon.com/IAM/latest/APIReference/API_DeleteServiceSpecificCredential.html](https://docs.aws.amazon.com/IAM/latest/APIReference/API_DeleteServiceSpecificCredential.html)
+ [https://docs.aws.amazon.com/IAM/latest/APIReference/API_ResetServiceSpecificCredential.html](https://docs.aws.amazon.com/IAM/latest/APIReference/API_ResetServiceSpecificCredential.html)
# Utilizzare IAM con Amazon Keyspaces (per Apache Cassandra)
Amazon Keyspaces (per Apache Cassandra) è un servizio di database gestito, scalabile, ad alta disponibilità e compatibile con Apache Cassandra. Puoi accedere ad Amazon Keyspaces tramite o Console di gestione AWS programmaticamente. Per accedere ad Amazon Keyspaces a livello di programmazione con credenziali specifiche del servizio, puoi utilizzare `cqlsh` o i driver Cassandra open source. Le *credenziali specifiche del servizio* includono un nome utente e una password come quelli che Cassandra utilizza per l'autenticazione e la gestione degli accessi. Puoi avere un massimo di due set di credenziali specifiche del servizio per ogni servizio supportato per utente.
Per accedere ad Amazon Keyspaces in modo programmatico con le chiavi di AWS accesso, puoi utilizzare l' AWS SDK, il AWS Command Line Interface (AWS CLI) o i driver Cassandra open source con il plug-in SigV4. Per ulteriori informazioni, consulta [Creare e configurare AWS credenziali per Amazon Keyspaces nella Amazon](https://docs.aws.amazon.com//keyspaces/latest/devguide/access.credentials.html) *Keyspaces (for Apache* Cassandra) Developer Guide.
**Nota**
Se prevedi di interagire con Amazon Keyspaces solo tramite la console, non è necessario generare credenziali specifiche del servizio. Per ulteriori informazioni, consulta la sezione [Accesso ad Amazon Keyspaces (per Apache Cassandra)](https://docs.aws.amazon.com/keyspaces/latest/devguide/console_keyspaces.html) nella *Guida per gli sviluppatori di Amazon Keyspaces (per Apache Cassandra)*.
Per ulteriori informazioni sulle autorizzazioni richieste per accedere ad Amazon Keyspaces, consulta [Esempi di policy basate su identità per Amazon Keyspaces (per Apache Cassandra)](https://docs.aws.amazon.com/keyspaces/latest/devguide/security_iam_id-based-policy-examples.html#security_iam_id-based-policy-examples-console) nella *Guida per gli sviluppatori di Amazon Keyspaces (per Apache Cassandra)*.
## Generazione delle credenziali Amazon Keyspaces (console)
Puoi utilizzare Console di gestione AWS per generare credenziali Amazon Keyspaces (per Apache Cassandra) per i tuoi utenti IAM.
**Come generare credenziali specifiche del servizio Amazon Keyspaces (console)**
1. Accedi Console di gestione AWS e apri la console IAM all'indirizzo. [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/)
1. Nel riquadro di navigazione, scegliere **Users (Utenti)** quindi selezionare il nome dell'utente che richiede le credenziali.
1. Nella scheda **Credenziali di sicurezza** in **Credenziali per Amazon Keyspaces (per Apache Cassandra)**, scegli **Genera credenziali**.
1. Le credenziali specifiche del servizio sono ora disponibili. Questa è l'unica volta in cui è possibile visualizzare o scaricare la password. Non puoi recuperarla successivamente. Tuttavia, è possibile reimpostare la password in qualsiasi momento. Salva l'utente e la password in una posizione sicura, perché ne avrai bisogno in un secondo momento.
## Generazione delle credenziali di Amazon Keyspaces (AWS CLI)
Puoi utilizzare AWS CLI per generare credenziali Amazon Keyspaces (per Apache Cassandra) per i tuoi utenti IAM.
**Come generare credenziali specifiche del servizio Amazon Keyspaces (AWS CLI)**
+ Utilizza il seguente comando:
+ [era iam create-service-specific-credential](https://docs.aws.amazon.com/cli/latest/reference/iam/create-service-specific-credential.html)
## Generazione di credenziali Amazon Keyspaces (API)AWS
Puoi utilizzare l' AWS API per generare credenziali Amazon Keyspaces (per Apache Cassandra) per i tuoi utenti IAM.
**Per generare credenziali specifiche del servizio Amazon Keyspaces (API)AWS**
+ Completare la seguente operazione:
+ [CreateServiceSpecificCredential](https://docs.aws.amazon.com/IAM/latest/APIReference/API_CreateServiceSpecificCredential.html)
# Trova credenziali inutilizzate AWS
Per aumentare la sicurezza del tuo account Account AWS, rimuovi le credenziali utente IAM (ovvero password e chiavi di accesso) che non sono necessarie. Ad esempio, quando gli utenti lasciano l'organizzazione o non hanno più bisogno di AWS accedervi, trovate le credenziali che stavano utilizzando e assicuratevi che non siano più operative. La soluzione ideale consiste nell'eliminare tutte le credenziali inutilizzate. Se l'utente dovesse averne bisogno in un secondo momento, potrai sempre ricrearle. Come minimo, dovresti modificare la password o disattivare le chiavi di accesso, per impedire l'accesso agli ex utenti.
Ovviamente, la definizione di *inutilizzata* è abbastanza ambigua, ma in genere si intende che una credenziale non è stata utilizzata per un determinato periodo di tempo.
## Ricerca di password inutilizzate
Puoi utilizzarli Console di gestione AWS per visualizzare le informazioni sull'utilizzo delle password per i tuoi utenti. Se il numero di utenti è elevato, puoi utilizzare la console per scaricare un report delle credenziali, con informazioni sui tempi di utilizzo delle password della console. Puoi anche accedere alle informazioni dall'API AWS CLI o dall'API IAM.
**Per individuare le password inutilizzate (console)**
1. Accedi Console di gestione AWS e apri la console IAM all'indirizzo [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/).
1. Nel pannello di navigazione, seleziona **Utenti**.
1. Se necessario, aggiungere la colonna **Console last sign-in (Ultimo accesso alla console)** nella tabella degli utenti:
1. Sopra la tabella all'estrema destra, selezionare l'icona delle impostazioni (![\[Settings icon\]](http://docs.aws.amazon.com/it_it/IAM/latest/UserGuide/images/console-settings-icon.console.png)).
1. In **Select visible columns** (Seleziona colonne visibili), seleziona **Console last sign-in** (Ultimo accesso alla console).
1. Seleziona **Confirm** (Conferma) per tornare all'elenco degli utenti.
1. La colonna **Ultimo accesso alla console** mostra la data dell'ultimo accesso dell'utente AWS tramite la console. Mediante queste informazioni puoi trovare gli utenti le cui password non sono state utilizzate per un determinato periodo di tempo. La colonna mostra **Never (Mai)** per gli utenti che non hanno mai usato le password per accedere. **None (Nessuna)** indica gli utenti senza password. Le password non utilizzate di recente potrebbero essere candidate ideali per la rimozione.
**Importante**
A causa di un problema di servizio, i dati sull'ultimo utilizzo della password non includono il periodo compreso fra le 22.50 (PDT) del 3 maggio 2018 e le 14.08 (PDT) del 23 maggio 2018. [Ciò influisce sulle date dell'[ultimo accesso](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_finding-unused.html) mostrate nella console IAM e sulle date dell'ultimo utilizzo della password nel [rapporto sulle credenziali IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/SupportedTypes.xmlid_credentials_getting-report.html) e restituite dall'GetUser operazione API.](https://docs.aws.amazon.com/IAM/latest/APIReference/API_GetUser.html) Se un utente ha effettuato l'accesso durante il periodo interessato, l'ultima data di utilizzo di password visualizzata sarà quella relativa all'ultimo utilizzo prima del 3 maggio 2018. Per gli utenti che hanno effettuato l'accesso dopo le 14.08 PDT del 23 maggio 2018, la data indicata sarà accurata.
Se utilizzi le informazioni relative all'ultima password utilizzata per identificare le credenziali non utilizzate da eliminare, ad esempio per eliminare gli utenti che non hanno effettuato l'accesso AWS negli ultimi 90 giorni, ti consigliamo di modificare la finestra di valutazione per includere date successive al 23 maggio 2018. In alternativa, se gli utenti utilizzano le chiavi di accesso per accedere a AWS livello di codice, è possibile fare riferimento alle ultime informazioni utilizzate sulla chiave di accesso, poiché sono accurate per tutte le date.
**Per trovare le password inutilizzate scaricando il report delle credenziali (console)**
1. Accedi Console di gestione AWS e apri la console IAM all'indirizzo. [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/)
1. Nel riquadro di navigazione, selezionare **Credential report (Rapporto credenziali)**.
1. Selezionare **Download Report (Scarica report)** per scaricare un file CSV denominato `status_reports_T