使用 AWS CLI 配置 IAM Identity Center 身份验证

1. 收集运行 aws configure sso 所需的 SSO Start URL 和 SSO Region 值

   1. 在 AWS 访问门户中，选择用于开发的权限集，然后选择访问密钥链接。

   2. 在获取凭证对话框中，选择与您的操作系统匹配的选项卡。

   3. 选择 IAM Identity Center 凭证方法以获取 SSO Start URL 和 SSO Region 值。

2. 或者，从版本 2.22.0 开始，您可以使用发布者 URL 来代替启动 URL。发布者 URL 位于 AWS IAM Identity Center 控制台上的下列位置之一：

   • 在控制面板页面上，发布者 URL 位于设置摘要中。

   • 在设置页面上，发布者 URL 位于身份源设置中。

3. 有关要注册哪些范围值的信息，请参阅《IAM Identity Center 用户指南》中的 OAuth 2.0 访问范围。

在 AWS CLI 中配置 IAM Identity Center 配置文件：

1. 在首选终端中运行 aws configure sso 命令。

   (Recommended) IAM Identity Center

   创建会话名称，并提供 IAM Identity Center 启动 URL 或发布者 URL、托管 IAM Identity Center 目录的 AWS 区域和注册范围。

   $ aws configure sso
   SSO session name (Recommended): my-sso
   SSO start URL [None]: https://my-sso-portal.awsapps.com/start
   SSO region [None]: us-east-1
   SSO registration scopes [None]: sso:account:access

   从版本 2.22.0 开始，代码交换的证明密钥（PKCE）授权默认用于 AWS CLI，并且必须在带浏览器的设备上使用。要继续使用设备授权，请附加 --use-device-code 选项。

   $ aws configure sso --use-device-code

   Legacy IAM Identity Center

   跳过该会话名称并提供 IAM Identity Center 启动 URL 以及托管 Identity Center 目录的 AWS 区域。

   $ aws configure sso
   SSO session name (Recommended):
   SSO start URL [None]: https://my-sso-portal.awsapps.com/start
   SSO region [None]:us-east-1

2. AWS CLI 将尝试打开您的默认浏览器，以便登录到您的 IAM Identity Center 账户。此过程可能会提示您允许 AWS CLI 访问您的数据。由于 AWS CLI 基于 SDK for Python 而构建，因此权限消息可能包含 botocore 名称的变体。

   • 如果 AWS CLI 无法打开浏览器，则会显示手动启动登录过程的说明，具体取决于所使用的授权类型。

     PKCE authorization

     从版本 2.22.0 开始，代码交换的证明密钥（PKCE）授权默认用于 AWS CLI。显示的 URL 是唯一 URL，开头为 https://oidc.us-east-1.amazonaws.com/authorize

     PKCE 授权 URL 必须在您登录到的同一台设备上打开，并且必须用于带浏览器的设备。

     Attempting to automatically open the SSO authorization page in your 
     default browser.
     If the browser does not open or you wish to use a different device to 
     authorize the request, open the following URL:
     
     https://oidc.us-east-1.amazonaws.com/authorize?<abbreviated>

     Device authorization

     对于版本 2.22.0 之前的版本，AWS CLI 默认使用 OAuth 2.0 设备授权。对于更新的版本，您可以使用 --use-device-code 选项启用此方法。

     设备授权 URL 无需在您登录到的同一台设备上打开，并且可用于带或不带浏览器的设备。

     If the browser does not open or you wish to use a different device to 
     authorize this request, open the following URL:
     https://device.sso.us-west-2.amazonaws.com/
     
     Then enter the code:
     QCFK-N451

     显示更多显示更少

3. 从所示列表中选择要使用的 AWS 账户。如果您只被授权使用一个账户，AWS CLI 会自动选择该账户并跳过提示。

   There are 2 AWS accounts available to you.
   > DeveloperAccount, developer-account-admin@example.com (123456789011) 
     ProductionAccount, production-account-admin@example.com (123456789022)

4. 从所示列表中选择要使用的 IAM 角色。如果只有一个角色可用，AWS CLI 会自动选择该角色并跳过提示。

   Using the account ID 123456789011
   There are 2 roles available to you.
   > ReadOnly
     FullAccess

5. 指定默认输出格式、向其发送命令的默认 AWS 区域，以及配置文件的名称。如果指定 default 作为配置文件名称，此配置文件将变为使用的默认配置文件。在以下示例中，用户输入默认区域、默认输出格式和配置文件的名称。

   CLI default client Region [None]: us-west-2<ENTER>
   CLI default output format [None]: json<ENTER>
   CLI profile name [123456789011_ReadOnly]: my-dev-profile<ENTER>

6. 最后一条消息描述了完成的配置文件配置。现在，您可以使用此配置文件请求凭证。使用 aws sso login 命令请求和检索运行命令所需的凭证。有关说明，请参阅登录到 IAM Identity Center 会话。