View a markdown version of this page

IAM Identity Center 指南 - AWS Control Tower

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

IAM Identity Center 指南

AWS 控制塔建议您使用 AWS Identity and Access Management (IAM) 来管理对您的的访问权限 AWS 账户。但是，您可以选择是否由 AWS Control Tower 为您设置 IAM Identity Center，是否由您自行设置 IAM Identity Center，以最有效地满足自己的业务需求，或者是否选择其他账户访问方法。

注意

SSO 是技术行业用来表示单点登录的简称。一般而言，SSO 是一种会话和用户身份验证服务。它允许用户使用一组登录凭证访问多个应用程序。在提及单点登录功能时 AWS，我们指的是名为的 AWS 服务 AWS Identity and Access Management，缩写为 IAM 或 IA M 身份中心。

默认情况下，AWS Control Tower 根据使用多个账户https://docs.aws.amazon.com/whitepapers/latest/organizing-your-aws-environment/organizing-your-aws-environment.html组织 AWS 环境中定义的最佳实践指南，为您的着陆区设置 AWS IAM 身份中心。大多数客户选择默认设置。有时需要其他访问方法，以满足特定行业或国家/地区的监管合规性要求，或者在 AWS IAM Identity Center 不可用的 AWS 区域 情况下。

选择选项

在控制台中，您可以选择在登录区设置过程中自行管理 IAM Identity Center，而不是让 AWS Control Tower 为您设置。以后任何时候，您都可以通过在登录区设置页面上修改登录区设置并更新登录区来更改这一选择。

停止 AWS AWS 控制塔中的 IAM 身份中心，或开始使用 AWS IAM Identity Center

  1. 导航到登录区设置页面。

  2. 选择配置选项卡

  3. 然后选择相应的单选按钮，更改您对 AWS IAM 身份中心的选择。

在您选择自行管理 AWS IAM 身份中心作为 IdP 后，AWS 控制塔仅创建管理 AWS 控制塔所需的角色和策略，例如AWSControlTowerAdmin和。AWSControlTowerAdminPolicy对于自行管理的登录区，AWS Control Tower 不再创建针对客户特定用途的 IAM 角色和分组，无论是在登录区设置过程中，还是在使用 Account Factory 预置账户期间，都是如此。

注意

如果您从 AWS 控制塔登录区域移除 AWS IAM 身份中心，则不会移除 AWS 控制塔创建的用户、群组和权限集。我们建议您删除这些资源。

拥有替代身份提供商 (IdPs)（例如 Azure AD、Ping 或 Okta）的 Account Factory 客户可以按照 AWS IAM 身份中心流程连接到外部身份提供商并加入其 IdP。通过修改登录区设置，您可以随时恢复让 AWS Control Tower 生成您的分组和角色。