Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
La principale occasione per chiamare l'operazione API GetSessionToken o il comando CLI get-session-token è quando un utente deve essere autenticato tramite Multi-Factor Authentication (MFA). È possibile scrivere una policy che permette determinate operazioni solo quando tali operazioni vengono richieste da un utente autenticato con MFA. Per superare i controlli di autorizzazione MFA, un utente deve prima chiamare GetSessionToken e includere i parametri facoltativi SerialNumber e TokenCode. Se l'utente è stato autenticato con un dispositivo MFA, le credenziali restituite dall'operazione API GetSessionToken includono il contesto MFA. Tale contesto indica che l'utente viene autenticato con MFA ed è autorizzato per le operazioni API che richiedono l'autenticazione MFA.
Autorizzazioni richieste per GetSessionToken
Non è richiesta all'utente alcuna autorizzazione per ottenere un token di sessione. Lo scopo dell'operazione GetSessionToken è autenticare l'utente tramite MFA. Non è possibile utilizzare le policy per controllare le operazioni di autenticazione.
Per concedere le autorizzazioni per eseguire la maggior parte delle operazioni AWS, si aggiunge a una policy l'operazione con lo stesso nome. Ad esempio, per creare un utente, occorre utilizzare l'operazione API CreateUser, il comando della CLI create-user o la AWS Management Console. Per eseguire queste operazioni, è necessario disporre di una policy che consenta di accedere all'operazione CreateUser.
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "iam:CreateUser",
"Resource": "*"
}
]
}È possibile includere l'operazione GetSessionToken nella policy, ma questo non incide sulla capacità di un utente di eseguire l'operazione GetSessionToken.
Autorizzazioni concesse da GetSessionToken
Se la chiamata a GetSessionToken viene eseguita con le credenziali di un utente IAM, le credenziali di sicurezza temporanee avranno le stesse autorizzazioni dell'utente IAM. Analogamente, se GetSessionToken viene richiamato con le credenziali dell'Utente root dell'account AWS, le credenziali di sicurezza provvisorie disporranno delle autorizzazioni dell'utente root.
Nota
È consigliabile non chiamare GetSessionToken con credenziali dell'utente root Segui invece le best practice e crea utenti IAM con le autorizzazioni necessarie. Utilizza quindi questi utenti IAM per l'interazione quotidiana con AWS.
Le credenziali temporanee ottenute chiamando GetSessionToken hanno le funzionalità e le limitazioni seguenti:
-
Puoi utilizzare le credenziali per accedere alla AWS Management Console inoltrandole all'endpoint Single Sign-On della federazione all'indirizzo
https://signin.aws.amazon.com/federation. Per ulteriori informazioni, consulta Abilita l'accesso personalizzato del broker di identità alla AWS console. -
Non puoi utilizzare le credenziali per richiamare le operazioni API IAM o AWS STS. Puoi utilizzarle per richiamare le operazioni API degli altri servizi AWS.
Per un confronto tra questa operazione API e i relativi limiti e funzionalità con le altre operazioni API che creano credenziali di sicurezza temporanee, consulta Confronta le credenziali AWS STS
Per ulteriori informazioni sull'accesso API protetto da MFA con GetSessionToken, consulta Accesso sicuro alle API con MFA.
