Considerações sobre a duração da sessão para usar fontes de identidade, o AWS CLI e AWS SDKs

AWS Managed Microsoft AD: se você usar AWS Managed Microsoft AD configurado em AWS Directory Service, a vida útil máxima dos tíquetes Kerberos do usuário é fixada em 10 horas. Portanto, a duração da sessão interativa do usuário é definida como a menor da configuração do IAM Identity Center e 10 horas. Por exemplo, se você definir a duração da sessão interativa do usuário como 12 horas, seus usuários deverão se autenticar novamente no portal de AWS acesso após 10 horas. O mesmo limite de 10 horas se aplica às sessões prolongadas do Kiro.

Conector AD: se você usar o AD Connector configurado em AWS Directory Service, a vida útil máxima dos tíquetes Kerberos do usuário será definida no Microsoft AD por trás do AD Connector. O valor padrão é 10 horas e tem o mesmo efeito nas sessões interativas do usuário e nas sessões estendidas de AWS Managed Microsoft AD. Embora esse limite possa ser configurável no Microsoft AD, recomendamos que você trabalhe com o administrador de TI para considerar os riscos, especialmente porque essa configuração pode afetar a duração da sessão de outros aplicativos cliente do Microsoft AD.

Se não SessionNotOnOrAfter for transmitida em uma declaração SAML, a duração de uma sessão do portal de AWS acesso (interativa com o usuário) e de uma sessão estendida não será afetada pela duração da sua sessão externa de IdP. Por exemplo, se a duração da sessão do IdP for de 24 horas e você definir uma duração de 18 horas no IAM Identity Center, seus usuários precisarão se autenticar novamente no portal de AWS acesso após 18 horas. Da mesma forma, se você definir uma sessão estendida de 90 dias para o Kiro, seus usuários do Kiro precisarão se autenticar novamente após 90 dias.

Se SessionNotOnOrAfter for passado em uma declaração SAML, o valor da duração da sessão é definido como a menor duração da sessão do portal de AWS acesso (interativa com o usuário) ou a duração estendida da sessão e a duração da sessão SAML IdP. Se você definir uma duração de sessão de 72 horas no IAM Identity Center e seu IdP tiver uma duração de sessão de 18 horas, seus usuários terão acesso aos AWS recursos pelas 18 horas definidas em seu IdP. Da mesma forma, se você definir uma sessão estendida de 90 dias para o Kiro, seus usuários do Kiro precisarão se autenticar novamente no Kiro após 18 horas.

Se a duração da sessão do IdP for maior do que a definida no IAM Identity Center, os usuários poderão iniciar uma nova sessão do IAM Identity Center sem reinserir suas credenciais, com base em sua sessão de login ainda válida no IdP.

Você deve configurar a duração da sessão do portal de AWS acesso no console do IAM Identity Center.

Você deve definir um perfil para as configurações de login único em seu arquivo de AWS configuração compartilhado. Esse perfil é usado para se conectar ao portal de AWS acesso. Recomendamos que você use a configuração do provedor de token do SSO. Com essa configuração, seu AWS SDK ou ferramenta pode recuperar automaticamente os tokens de autenticação atualizados. Para obter mais informações, consulte a configuração do provedor de token do SSO no Guia de referência do AWS SDK e ferramentas.

Os usuários devem executar uma versão do AWS CLI ou um SDK que ofereça suporte ao gerenciamento de sessões.

AWS CLI V2 2.9 ou posterior

AWS CLI V1 1.27.10 ou posterior