Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Configurare l'accesso a Account AWS

Le istanze organizzative di IAM Identity Center sono integrate con. AWS Organizations Ciò consente di gestire centralmente le autorizzazioni su più account Account AWS senza configurare l'accesso singolarmente a ciascun account.

La tabella seguente confronta le opzioni di gestione dell'accesso all'account che dovresti prendere in considerazione:

Account AWS tipi

Esistono due tipi di Account AWS in AWS Organizations:

Per ulteriori informazioni sui Account AWS tipi, vedere AWS Organizations Terminologia e concetti nella Guida per l'AWS Organizations utente.

Puoi anche scegliere di registrare un account membro come amministratore delegato per IAM Identity Center. Gli utenti di questo account possono eseguire la maggior parte delle attività amministrative di IAM Identity Center. Per ulteriori informazioni, consulta Amministrazione delegata.

Per ogni attività e tipo di account, la tabella seguente indica se l'attività amministrativa di IAM Identity Center può essere eseguita dagli utenti dell'account.

*Fai riferimento alle best practice per l'amministrazione delegata per quanto riguarda le assegnazioni di utenti e gruppi all'account di gestione.

Assegnazione Account AWS accedi

È possibile utilizzare i set di autorizzazioni per semplificare l'assegnazione dell'accesso a utenti e gruppi dell'organizzazione Account AWS. I set di autorizzazioni sono archiviati in IAM Identity Center e definiscono il livello di accesso di utenti e gruppi a un Account AWS. Puoi creare un singolo set di autorizzazioni e assegnarlo a più autorizzazioni Account AWS all'interno della tua organizzazione. Puoi anche assegnare più set di autorizzazioni allo stesso utente.

Puoi anche utilizzare l'account access manager, una funzionalità IAM, per assegnare ruoli IAM esistenti agli utenti e ai gruppi di IAM Identity Center negli account della tua organizzazione. Puoi utilizzare l'account access manager da solo o insieme ai set di autorizzazioni. Account Access Manager ti dà accesso al set completo di funzionalità dei ruoli IAM, tra cui politiche di fiducia personalizzate, tag di ruolo per ABAC e percorsi di ruolo configurabili.

Per ulteriori informazioni sui set di autorizzazioni, consulta Creare, gestire ed eliminare set di autorizzazioni.

End-user esperienza

Il portale di AWS accesso fornisce agli utenti dell'IAM Identity Center l'accesso Single Sign-on a tutti i loro assegnati Account AWS e alle applicazioni tramite un portale web. Il portale di AWS accesso è diverso dal Console di gestione AWS, che è una raccolta di console di servizio per la gestione delle risorse. AWS

Quando si crea un set di autorizzazioni, il nome specificato per il set di autorizzazioni viene visualizzato nel portale di AWS accesso come ruolo disponibile. Gli utenti AWS accedono al portale di accesso, ne scelgono uno Account AWS e quindi il ruolo. Dopo aver scelto il ruolo, possono accedere ai AWS servizi utilizzando Console di gestione AWS o recuperando le credenziali temporanee per accedere ai AWS servizi a livello di programmazione.

Per aprire Console di gestione AWS o recuperare le credenziali temporanee per l'accesso a livello di AWS programmazione, gli utenti completano i seguenti passaggi:

Per una guida dettagliata che puoi fornire agli utenti della tua forza lavoro, consulta e. Configurazione e utilizzo del AWS portale di accesso Ottenere le credenziali utente di IAM Identity Center per AWS CLI or AWS SDK

Applicare e limitare l'accesso

Quando abiliti IAM Identity Center, IAM Identity Center crea un ruolo collegato al servizio. Puoi anche utilizzare le politiche di controllo dei servizi (SCP).

Delegare e imporre l'accesso

Un ruolo collegato ai servizi è un tipo di ruolo IAM collegato direttamente a un servizio. AWS Dopo aver abilitato IAM Identity Center, IAM Identity Center può creare un ruolo collegato ai servizi in ciascuno Account AWS dei componenti dell'organizzazione. Questo ruolo fornisce autorizzazioni predefinite che consentono a IAM Identity Center di delegare e imporre quali utenti hanno accesso Single Sign-on a determinati utenti della tua organizzazione. Account AWS AWS OrganizationsÈ necessario assegnare a uno o più utenti l'accesso a un account per utilizzare questo ruolo. Per ulteriori informazioni, consultare Informazioni sui ruoli collegati ai servizi in IAM Identity Center e Utilizzo di ruoli collegati ai servizi per IAM Identity Center.

Limitazione dell'accesso all'archivio di identità dagli account dei membri

Per il servizio di archiviazione delle identità utilizzato da IAM Identity Center, gli utenti che hanno accesso a un account membro possono utilizzare azioni API che richiedono autorizzazioni di lettura. Gli account membri hanno accesso alle azioni Read su entrambi i namespace sso-directory e identitystore. Per ulteriori informazioni, vedere Azioni, risorse e chiavi di condizione per la Centro identità AWS IAM directory e Azioni, risorse e chiavi di condizione per AWS Identity Store nel riferimento all'autorizzazione del servizio.

Per impedire agli utenti degli account membri di utilizzare le operazioni API nell'archivio di identità, puoi allegare una policy di controllo del servizio (SCP). Un SCP è un tipo di policy organizzativa che puoi utilizzare per gestire le autorizzazioni nella tua organizzazione. L'esempio seguente SCP impedisce agli utenti degli account membri di accedere a qualsiasi operazione API nell'archivio di identità.

        {
            "Sid": "ExplicitlyBlockIdentityStoreAccess",
            "Effect": "Deny",
            "Action": ["identitystore:*", "sso-directory:*"],
            "Resource": "*"
        }

Per ulteriori informazioni, consulta Policy di controllo dei servizi nella Guida per l'utente di AWS Organizations .