Configurazione dell'autenticazione IAM Identity Center con AWS CLI

Segui le istruzioni riportate in Guida introduttiva nella Guida AWS IAM Identity Center per l'utente. Questo processo attiva IAM Identity Center, crea un utente amministrativo e aggiunge un set di autorizzazioni con privilegi minimi appropriati.

Esci dal portale e accedi nuovamente per visualizzare i Account AWS dettagli di accesso programmatici e le opzioni per Administrator o. PowerUserAccess Seleziona PowerUserAccess quando lavori con. SDK

Accedi AWS tramite il portale del tuo provider di identità. Se il tuo amministratore cloud ti ha concesso le autorizzazioni PowerUserAccess (sviluppatore), vedi quelle a Account AWS cui hai accesso e il tuo set di autorizzazioni. Accanto al nome del set di autorizzazioni, vengono visualizzate le opzioni per accedere agli account manualmente o programmaticamente utilizzando quel set di autorizzazioni.

Le implementazioni personalizzate potrebbero dare luogo a esperienze diverse, ad esempio nomi di set di autorizzazioni diversi. Se non sei sicuro del set di autorizzazioni da utilizzare, contatta il tuo team IT per ricevere assistenza.

Accedi AWS tramite il tuo portale di AWS accesso. Se il tuo amministratore cloud ti ha concesso le autorizzazioni PowerUserAccess (sviluppatore), vedi quelle a Account AWS cui hai accesso e il tuo set di autorizzazioni. Accanto al nome del set di autorizzazioni, vengono visualizzate le opzioni per accedere agli account manualmente o programmaticamente utilizzando quel set di autorizzazioni.

Contatta il tuo team IT per ricevere assistenza.

Questi passaggi comportano la creazione della sso-session sezione e del profilo denominato nel config file che hanno l'aspetto seguente:

La sso-session sezione del config file viene utilizzata per raggruppare le variabili di configurazione per SSO l'acquisizione di token di accesso, che possono quindi essere utilizzati per acquisire AWS le credenziali. Vengono utilizzate le seguenti impostazioni:

Definite una sso-session sezione e la associate a un profilo. Le sso_start_url impostazioni sso_region e devono essere impostate all'interno della sso-session sezione. In genere, sso_account_id e sso_role_name deve essere impostato nella profile sezione in modo che SDK possano richiedere SSO le credenziali.

L'esempio seguente configura SDK per richiedere le SSO credenziali e supporta l'aggiornamento automatico dei token:

[profile dev]
sso_session = my-sso
sso_account_id = 111122223333
sso_role_name = SampleRole

[sso-session my-sso]
sso_region = us-east-1
sso_start_url = https://my-sso-portal.awsapps.com/start

Ciò consente inoltre di sso-session riutilizzare le configurazioni su più profili:

[profile dev]
sso_session = my-sso
sso_account_id = 111122223333
sso_role_name = SampleRole

[profile prod]
sso_session = my-sso
sso_account_id = 111122223333
sso_role_name = SampleRole2

[sso-session my-sso]
sso_region = us-east-1
sso_start_url = https://my-sso-portal.awsapps.com/start

Tuttavia, sso_account_id sso_role_name non sono necessari per tutti gli scenari di configurazione dei SSO token. Se l'applicazione utilizza solo AWS servizi che supportano l'autenticazione al portatore, AWS le credenziali tradizionali non sono necessarie. L'autenticazione al portatore è uno schema di HTTP autenticazione che utilizza token di sicurezza denominati token al portatore. In questo scenario, sso_account_id e sso_role_name non sono obbligatori. Consulta la guida individuale del tuo AWS servizio per determinare se supporta l'autorizzazione del token al portatore.

Inoltre, gli ambiti di registrazione possono essere configurati come parte di un. sso-session Scope è un meccanismo della OAuth versione 2.0 per limitare l'accesso di un'applicazione all'account di un utente. Un'applicazione può richiedere uno o più ambiti e il token di accesso rilasciato all'applicazione sarà limitato agli ambiti concessi. Questi ambiti definiscono le autorizzazioni richieste per l'autorizzazione per il OIDC client registrato e i token di accesso recuperati dal client. L'esempio seguente consente di fornire l'accesso per sso_registration_scopes elencare account/ruoli:

[sso-session my-sso]
sso_region = us-east-1
sso_start_url = https://my-sso-portal.awsapps.com/start
sso_registration_scopes = sso:account:access

Il token di autenticazione viene memorizzato nella cache su disco all'interno della sso/cache directory con un nome di file basato sul nome della sessione.

Per aggiungere manualmente il supporto per IAM Identity Center a un profilo denominato, è necessario aggiungere le chiavi e i valori seguenti alla definizione del profilo contenuta nel config file.

È possibile includere qualsiasi altra chiave e valore valido nel .aws/config file. L'esempio seguente è un profilo IAM Identity Center:

[profile my-sso-profile]
sso_start_url = https://my-sso-portal.awsapps.com/start
sso_region = us-west-2
sso_account_id = 111122223333
sso_role_name = SSOReadOnlyRole
region = us-west-2
output = json

Se non AWS CLI riesce ad aprire il browser, ti viene richiesto di aprirlo tu stesso e di inserire il codice specificato.

$ aws sso login --profile my-dev-profile
Using a browser, open the following URL:
https://device.sso.us-west-2.amazonaws.com/
and enter the following code:
QCFK-N451