将用户或群组访问权限分配给 AWS 账户

为用户或群组分配访问权限 AWS 账户

1. 打开 IAM Identity Center 控制台。

   注意

   确保 IAM Identity Center 控制台使用的区域是您的 AWS Managed Microsoft AD 目录所在的区域，然后再继续执行下一步骤。

2. 在导航窗格的 “Multi-account权限” 下，选择AWS 账户。

3. 在 AWS 账户 页面上，将显示贵组织的树状视图列表。选中要分配访问权限的 AWS 账户 旁边的复选框。如果您要为 IAM Identity Center 设置管理访问权限，请选中管理账户旁边的复选框。

   注意

   AWS 账户 在为用户和群组分配单点登录访问权限时，每个权限集最多可以选择 10 个。要向同一组用户和组分配超过 10 AWS 账户 个，请根据需要为其他帐户重复此过程。出现提示时，选择相同的用户、组和权限集。

4. 选择分配用户或组。

5. 对于步骤 1：选择用户和群组，在 “将用户和群组分配给AWS-account-name” 页面上，执行以下操作：

   1. 在用户选项卡上，选择一个或多个要向其授予单点登录访问权限的用户。

      要筛选结果，请开始在搜索框中键入所需用户的名称。

   2. 在组选项卡上，选择一个或多个要向其授予单点登录访问权限的组。

      要筛选结果，请开始在搜索框中键入所需组的名称。

   3. 要显示您选择的用户和组，请选择选定的用户和组旁边的横向三角形。

   4. 确认选择了正确的用户和组后，选择下一步。

6. 对于步骤 2：选择权限集，在 “将权限集分配给AWS-account-name” 页面上，执行以下操作：

   1. 选择一个或多个权限集。如有需要，您可以创建和选择新的权限集。

      • 要选择一个或多个现有权限集，请在权限集下，选择要应用于在上一步中选择的用户和组的权限集。

      • 要创建一个或多个新权限集，请选择创建权限集，然后按照 创建权限集 中的步骤操作。创建要应用的权限集后，在 IAM Identity Center 控制台中，返回到 AWS 账户 并按照说明进行操作，直到进入步骤 2：选择权限集。完成此步骤后，选择您创建的新权限集，然后继续执行此过程的下一步。

   2. 确认选择了正确的权限集后，选择下一步。

7. 对于第 3 步：复查并提交，在 “查看并将作业提交到AWS-account-name” 页面上，执行以下操作：

   1. 查看选定的用户、组和权限集。

   2. 确认选择了正确的用户、组和权限集之后，选择提交。

   注意事项

   • 用户和组的分配过程可能需要几分钟才能完成。等到此过程成功完成再关闭该页面。

   • 注意

     您可能需要向用户或群组授予权限才能在 AWS Organizations 管理账户中进行操作。由于它是一个高权限的账户，因此额外的安全限制要求您拥有IAMFullAccess策略或等效权限才能进行设置。您的 AWS 组织中的任何成员账户都不需要这些额外的安全限制。

8. 如果符合以下任一条件，请按照 提示用户完成 MFA 中的步骤为 IAM Identity Center 启用 MFA：

   • 您正在使用默认的 Identity Center 目录作为身份源。

   • 你正在使用 Active Directory 中的 AWS Managed Microsoft AD 目录或自我管理的目录作为身份源，但没有使用 RADIUS MFA 和。 AWS Directory Service

   注意

   如果您正在使用外部身份提供者，请注意由外部 IdP（而不是 IAM Identity Center）管理 MFA 设置。IAM 身份中心中的 MFA 不支持外部 IdPs使用。