As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Configurar o acesso ao Contas da AWS

As instâncias organizacionais do IAM Identity Center são integradas com AWS Organizations o. Isso permite que você gerencie centralmente as permissões em várias Contas da AWS sem configurar o acesso individualmente a cada conta.

A tabela a seguir compara as opções de gerenciamento de acesso à conta que você deve considerar:

Conta da AWS tipos

Existem dois tipos de Contas da AWS entrada AWS Organizations:

Para obter mais informações sobre Conta da AWS tipos, consulte AWS Organizations Terminologia e conceitos no Guia do AWS Organizations usuário.

Você também pode optar por registrar uma conta de membro como administrador delegado do IAM Identity Center. Os usuários dessa conta podem realizar a maioria das tarefas administrativas do IAM Identity Center. Para obter mais informações, consulte Administradores delegados.

Para cada tarefa e tipo de conta, a tabela a seguir indica se a tarefa administrativa do IAM Identity Center pode ser executada pelos usuários na conta.

*Consulte as melhores práticas para administração delegada em relação às atribuições de usuários e grupos à conta gerencial.

Atribuição Conta da AWS acesso

Você pode usar conjuntos de permissões para simplificar a forma como você atribui acesso aos usuários e grupos da sua organização às Contas da AWS. Os conjuntos de permissões são armazenadas no IAM Identity Center e definem o nível de acesso que os usuários e grupos têm a uma conta da Conta da AWS. Você pode criar um único conjunto de permissões e atribuí-lo a vários Contas da AWS em sua organização. Você também pode atribuir vários conjuntos de permissões ao mesmo usuário.

Você também pode usar o gerenciador de acesso à conta — um recurso do IAM — para atribuir funções existentes do IAM aos usuários e grupos do IAM Identity Center nas contas da sua organização. Você pode usar o gerenciador de acesso à conta sozinho ou junto com os conjuntos de permissões. O gerente de acesso à conta fornece acesso ao conjunto completo de recursos de função do IAM, incluindo políticas de confiança personalizadas, tags de função para ABAC e caminhos de função configuráveis.

Para obter mais informações sobre esses conjuntos de permissões, consulte Criar, gerenciar e excluir conjuntos de permissões.

End-user experiência

O portal de AWS acesso fornece aos usuários do IAM Identity Center acesso de login único a todas as suas atribuições Contas da AWS e aplicativos por meio de um portal na web. O portal de AWS acesso é diferente do Console de gerenciamento da AWS, que é uma coleção de consoles de serviços para gerenciar AWS recursos.

Quando você cria um conjunto de permissões, o nome que você especifica para o conjunto de permissões aparece no portal de AWS acesso como uma função disponível. Os usuários entram no portal de AWS acesso, escolhem um e Conta da AWS, em seguida, escolhem a função. Depois de escolherem a função, eles podem acessar AWS os serviços usando Console de gerenciamento da AWS ou recuperar credenciais temporárias para acessar os AWS serviços de forma programática.

Para abrir Console de gerenciamento da AWS ou recuperar credenciais temporárias para acessar AWS programaticamente, os usuários concluem as seguintes etapas:

Para obter orientação passo a passo que você pode fornecer aos usuários da sua força de trabalho, consulte Configurando e usando o AWS portal de acesso e Obter credenciais de usuário do IAM Identity Center para o AWS CLI or AWS SDKs.

Imposição e limite de acesso

Quando você ativa o IAM Identity Center, ele cria uma função vinculada ao serviço. Você também pode usar políticas de controle de serviço (service control policies, SCPs).

Delegar e impor o acesso

Uma função vinculada a serviços é um tipo de função do IAM vinculada diretamente a um AWS serviço. Depois de ativar o IAM Identity Center, o IAM Identity Center pode criar uma função vinculada ao serviço em cada um Conta da AWS em sua organização. Essa função fornece permissões predefinidas que permitem que o IAM Identity Center delegue e imponha quais usuários têm acesso de login único a determinados Contas da AWS usuários da sua organização em. AWS Organizations Você precisa atribuir a um ou mais usuários acesso a uma conta para usar essa função. Para obter mais informações, consulte Compreender os perfis vinculados ao serviço do IAM Identity Center e As funções vinculadas ao serviço do IAM Identity Center permanecem..

Limitar o acesso ao repositório de identidades das contas dos membros

Para o serviço de armazenamento de identidades usado pelo IAM Identity Center, os usuários que têm acesso a uma conta de membro podem usar ações de API que exigem permissões de leitura. As contas dos membros têm acesso às ações de leitura nos namespaces sso-directory e identitystore. Para obter mais informações, consulte Ações, recursos e chaves de condição para Centro de Identidade do AWS IAM diretório e Ações, recursos e chaves de condição para o AWS Identity Store na Referência de Autorização de Serviço.

Para evitar que usuários nas contas membro usem as operações de API no repositório de identidades, você pode anexar uma política de controle de serviços (SCP). As políticas de controle de serviço (SCPs) são um tipo de política organizacional que você pode usar para gerenciar permissões na sua organização. O exemplo de SCP a seguir impede que usuários em contas de membros acessem qualquer operação de API no repositório de identidades.

        {
            "Sid": "ExplicitlyBlockIdentityStoreAccess",
            "Effect": "Deny",
            "Action": ["identitystore:*", "sso-directory:*"],
            "Resource": "*"
        }

Para obter mais informações, consulte Políticas de controle de serviços (SCPs) no Guia do usuário do AWS Organizations .