를 사용하여 IAM Identity Center 인증 구성 AWS CLI

AWS IAM Identity Center 사용 설명서의 시작하기에 나온 지침을 따릅니다. 이 프로세스는 IAM Identity Center를 활성화하고, 관리 사용자를 생성하고, 적절한 최소 권한 권한 세트를 추가합니다.

포털을 종료하고 다시 로그인하여 Administrator 또는 에 대한 AWS 계정, 프로그래밍 액세스 세부 정보 및 옵션을 확인합니다PowerUserAccess. 를 사용할 PowerUserAccess 때 를 선택합니다SDK.

자격 증명 공급자의 포털을 AWS 통해 에 로그인합니다. 클라우드 관리자가 PowerUserAccess (개발자) 권한을 부여한 경우 액세스 권한이 AWS 계정 있는 및 권한 세트가 표시됩니다. 권한 집합 이름 옆에는 해당 권한 집합을 사용하여 수동으로 또는 프로그래밍 방식으로 계정에 액세스할 수 있는 옵션이 표시됩니다.

사용자 지정 구현으로 인해 사용 권한 집합 이름이 달라지는 등 다양한 경험이 발생할 수 있습니다. 어떤 권한 세트를 사용할지 확실하지 않은 경우 IT 팀에 문의하십시오.

AWS 액세스 포털을 AWS 통해 에 로그인합니다. 클라우드 관리자가 PowerUserAccess (개발자) 권한을 부여한 경우 액세스 권한이 AWS 계정 있는 및 권한 세트가 표시됩니다. 권한 집합 이름 옆에는 해당 권한 집합을 사용하여 수동으로 또는 프로그래밍 방식으로 계정에 액세스할 수 있는 옵션이 표시됩니다.

IT 팀에 문의하십시오.

이 단계를 수행하면 다음과 같은 sso-session 섹션과 이름이 지정된 프로파일이 config 파일에 생성됩니다.

config 파일의 sso-session 섹션은 SSO 액세스 토큰을 획득하기 위한 구성 변수를 그룹화하는 데 사용되며, 그런 다음 보안 AWS 인증 정보를 획득하는 데 사용할 수 있습니다. 다음 설정이 사용됩니다.

sso-session 섹션을 정의하고 프로파일에 연결합니다. sso_region 및 sso_start_url 설정은 sso-session 섹션 내에서 설정해야 합니다. 일반적으로 sso_account_id 및 는 가 SSO 보안 인증을 요청할 SDK 수 있도록 profile 섹션에서 설정해야 sso_role_name 합니다.

다음 예제에서는 SSO 자격 증명을 요청SDK하도록 를 구성하고 자동 토큰 새로 고침을 지원합니다.

[profile dev]
sso_session = my-sso
sso_account_id = 111122223333
sso_role_name = SampleRole

[sso-session my-sso]
sso_region = us-east-1
sso_start_url = https://my-sso-portal.awsapps.com/start

이는 또한 여러 프로필에서 sso-session 구성을 재사용하도록 허용합니다.

[profile dev]
sso_session = my-sso
sso_account_id = 111122223333
sso_role_name = SampleRole

[profile prod]
sso_session = my-sso
sso_account_id = 111122223333
sso_role_name = SampleRole2

[sso-session my-sso]
sso_region = us-east-1
sso_start_url = https://my-sso-portal.awsapps.com/start

그러나 SSO 토큰 구성의 모든 시나리오에는 sso_account_id 및 sso_role_name 가 필요하지 않습니다. 애플리케이션이 베어러 인증을 지원하는 AWS 서비스만 사용하는 경우 기존 AWS 보안 인증은 필요하지 않습니다. 무기명 인증은 무기명 토큰이라는 보안 토큰을 사용하는 HTTP 인증 체계입니다. 이 시나리오에서는 sso_account_id 및 sso_role_name은 필수가 아닙니다. AWS 서비스에 대한 개별 가이드를 참조하여 베어러 토큰 인증을 지원하는지 확인합니다.

또한 등록 범위는 sso-session의 일부로 구성할 수 있습니다. Scope는 OAuth 2.0의 메커니즘으로, 사용자의 계정에 대한 애플리케이션의 액세스를 제한합니다. 애플리케이션은 하나 이상의 범위를 요청할 수 있으며 애플리케이션에 발급되는 액세스 토큰은 부여된 범위로 제한됩니다. 이러한 범위는 등록된 OIDC 클라이언트 및 클라이언트에서 검색한 액세스 토큰에 대해 권한을 부여하도록 요청되는 권한을 정의합니다. 다음 예제는 계정/역할 목록에 대한 액세스 권한을 제공하도록 sso_registration_scopes를 설정합니다.

[sso-session my-sso]
sso_region = us-east-1
sso_start_url = https://my-sso-portal.awsapps.com/start
sso_registration_scopes = sso:account:access

인증 토큰은 세션 이름을 기반으로 하는 파일 이름을 사용하여 sso/cache 디렉터리 아래의 디스크에 캐시됩니다.

명명된 프로파일에 IAM Identity Center 지원을 수동으로 추가하려면 config 파일의 프로파일 정의에 다음 키와 값을 추가해야 합니다.

.aws/config 파일에 유효한 다른 키와 값을 포함할 수 있습니다. 다음 예는 IAM Identity Center 프로파일입니다.

[profile my-sso-profile]
sso_start_url = https://my-sso-portal.awsapps.com/start
sso_region = us-west-2
sso_account_id = 111122223333
sso_role_name = SSOReadOnlyRole
region = us-west-2
output = json

가 브라우저를 열 AWS CLI 수 없는 경우 브라우저를 직접 열고 지정된 코드를 입력하라는 메시지가 표시됩니다.

$ aws sso login --profile my-dev-profile
Using a browser, open the following URL:
https://device.sso.us-west-2.amazonaws.com/
and enter the following code:
QCFK-N451