先决条件

创建策略

1. 登录 IAM 控制台。

2. 在访问管理下，选择策略。

3. 选择创建策略，选择 JSON，然后添加以下策略：

   JSON

   {
       "Version":"2012-10-17",
       "Statement": [
           {
               "Sid": "CreatePartnerCentralRoles",
               "Effect": "Allow",
               "Action": [
                   "iam:CreateRole"
               ],
               "Resource": [
                   "arn:aws:iam::*:role/PartnerCentralRoleForCloudAdmin*",
                   "arn:aws:iam::*:role/PartnerCentralRoleForAce*",
                   "arn:aws:iam::*:role/PartnerCentralRoleForAlliance*"
               ]
           },
           {
               "Sid": "AttachPolicyToPartnerCentralCloudAdminRole",
               "Effect": "Allow",
               "Action": "iam:AttachRolePolicy",
               "Resource": "arn:aws:iam::*:role/PartnerCentralRoleForCloudAdmin*",
               "Condition": {
                   "ArnLike": {
                       "iam:PolicyARN": [
                           "arn:aws:iam::*:policy/PartnerCentralAccountManagementUserRoleAssociation",
                           "arn:aws:iam::*:policy/AWSPartnerCentralFullAccess",
                           "arn:aws:iam::*:policy/AWSMarketplaceSellerFullAccess"
                       ]
                   }
               }
           },
           {
               "Sid": "AttachPolicyToPartnerCentralAceRole",
               "Effect": "Allow",
               "Action": [
                   "iam:AttachRolePolicy"
               ],
               "Resource": "arn:aws:iam::*:role/PartnerCentralRoleForAce*",
               "Condition": {
                   "ArnLike": {
                       "iam:PolicyARN": [
                           "arn:aws:iam::*:policy/AWSPartnerCentralOpportunityManagement",
                           "arn:aws:iam::*:policy/AWSMarketplaceSellerOfferManagement"
                       ]
                   }
               }
           },
           {
               "Sid": "AttachPolicyToPartnerCentralAllianceRole",
               "Effect": "Allow",
               "Action": [
                   "iam:AttachRolePolicy"
               ],
               "Resource": "arn:aws:iam::*:role/PartnerCentralRoleForAlliance*",
               "Condition": {
                   "ArnLike": {
                       "iam:PolicyARN": [
                           "arn:aws:iam::*:policy/AWSPartnerCentralFullAccess",
                           "arn:aws:iam::*:policy/AWSMarketplaceSellerFullAccess"
                       ]
                   }
               }
           },
           {
               "Sid": "AssociatePartnerAccount",
               "Effect": "Allow",
               "Action": [
                   "partnercentral-account-management:AssociatePartnerAccount"
               ],
               "Resource": "*"
           },
           {
               "Sid": "SellerRegistration",
               "Effect": "Allow",
               "Action": [
                   "aws-marketplace:ListChangeSets",
                   "aws-marketplace:DescribeChangeSet",
                   "aws-marketplace:StartChangeSet",
                   "aws-marketplace:ListEntities",
                   "aws-marketplace:DescribeEntity"
               ],
               "Resource": "*"
           }
       ]
   }
   

4. 选择下一步。

5. 在 “策略详细信息” 下的 “策略名称” 框中，输入策略的名称和可选描述。

6. 查看策略权限，根据需要添加标签，然后选择创建策略。

7. 将您的 IAM 用户或角色关联到策略。有关连接的信息，请参阅 IAM 用户指南中的添加 IA M 身份权限（控制台）。

1. 登录到 IAM Identity Center 控制台。

2. 在 “Multi-account 权限” 下，选择 “权限集” 。

3. 选择创建权限集。

4. 在 “选择权限集类型” 页面上，在 “权限集类型” 下，选择 “自定义权限集”，然后选择 “下一步” 。

5. 执行以下操作：

   1. 在指定策略和权限边界页面上，选择要应用于权限集的 IAM 策略的类型。

      默认情况下，您可以向权限集添加最多 10 个 AWS 托管策略和客户托管策略的任意组合。IAM 设置此配额。要提高 IAM 配额托管策略，请在您要分配权限集的每个 AWS 账户的服务配额控制台中申请增加附加到 IAM 角色的 IAM 配额托管策略。

   2. 展开内联策略以添加自定义 JSON-formatted 策略文本。内联策略与现有的 IAM 资源不对应。要创建内联策略，请在提供的表单中输入自定义策略语言。IAM Identity Center 会将策略添加到它在您的成员帐户中创建的 IAM 资源中。有关更多信息，请参阅内联策略。

   3. 从 “AWS 合作伙伴中心” 和 “ AWS 账户关联前提条件” 中复制并粘贴 JSON 政策

6. 在指定权限集详细信息 页面中，请执行以下操作：

   1. 在权限集名称 下，键入一个名称以在 IAM Identity Center 中标识此权限集。您为此权限集指定的名称作为可用角色出现在 AWS 访问门户中。用户登录 AWS 访问门户，选择一个 AWS 帐户，然后选择角色。

   2. （可选）您也可以键入描述。描述仅显示在 IAM 身份中心控制台中，不显示在 AWS 访问门户中。

   3. （可选）指定会话持续时间的值。该值确定用户在控制台注销其会话之前可以登录的时间长度。有关更多信息，请参阅为 AWS 账户设置会话时长。

   4. （可选）指定中继状态的值。此值在联合身份验证过程中用于重定向帐户中的用户。有关更多信息，请参阅设置中继状态以便快速访问 AWS 管理控制台。

      注意

      中继状态必须使用 AWS 管理控制台 URL。例如：https://console.aws.amazon.com/ec2/

   5. 展开标签（可选），选择添加标签，然后为密钥和值（可选）指定值。

      有关标签的信息，请参阅标记 AWS IAM 身份中心资源。

   6. 选择下一步。

7. 在查看并创建页面上，查看您所做的选择，然后选择创建。

   默认情况下，当您创建权限集时，未设置权限集（用于任何 AWS 帐户）。要在账户中预置权限集，您必须向该 AWS 账户中的用户和群组分配 IAM Identity Center 访问权限，然后将权限集应用于这些用户和群组。有关更多信息，请参阅 AWS IAM 身份中心用户指南中的为 AWS 账户分配用户访问权限。