分配用户权限以访问 AWS 账户
使用以下过程为已连接目录中的用户和组分配单点登录访问权限,并使用权限集确定其访问级别。
要查看现有用户和组的访问权限,请参阅查看用户和组分配。
注意
为了简化访问权限的管理,建议您直接向组(而非各个用户)分配访问权限。通过组,您可以授予或拒绝用户组的权限,而不是必须为每个用户应用这些权限。如果用户移动到不同的组织,您只需将该用户移动到不同的组,他们会自动接收新组织所需的权限。
向用户或组分配权限以访问 AWS 账户
-
注意
确保 IAM Identity Center 控制台使用的区域是您的 AWS Managed Microsoft AD 目录所在的区域,然后再继续执行下一步骤。
-
在导航窗格中的多帐户权限下,选择 AWS 账户。
-
在 AWS 账户 页面上,将显示您的组织的树视图列表。选中您要为其分配单点登录访问权限的一个或多个 AWS 账户 旁边的复选框。
注意
当您向用户和组分配单点登录访问权限时,每个权限集一次最多可以选择 10 个 AWS 账户。要将 10 多个 AWS 账户 分配给同一组用户和组,请根据其他帐户的需要重复此过程。出现提示时,选择相同的用户、组和权限集。
-
选择分配用户或组。
-
对于步骤 1:选择用户和组,在将用户和组分配给“
AWS-account-name
”页面上,执行以下操作:-
在用户选项卡上,选择一个或多个要向其授予单点登录访问权限的用户。
要筛选结果,请开始在搜索框中键入所需用户的名称。
-
在组选项卡上,选择一个或多个要向其授予单点登录访问权限的组。
要筛选结果,请开始在搜索框中键入所需组的名称。
-
要显示您选择的用户和组,请选择选定的用户和组旁边的横向三角形。
-
确认选择了正确的用户和组后,选择下一步。
-
-
对于步骤 2:选择权限集,在将权限集分配给“
AWS-account-name
”页面上,执行以下操作:-
选择一个或多个权限集。如有需要,您可以创建和选择新的权限集。
-
要选择一个或多个现有权限集,请在权限集下,选择要应用于在上一步中选择的用户和组的权限集。
-
要创建一个或多个新权限集,请选择创建权限集,然后按照 创建权限集 中的步骤操作。创建要应用的权限集后,在 IAM Identity Center 控制台中,返回到 AWS 账户 并按照说明进行操作,直到进入步骤 2:选择权限集。完成此步骤后,选择您创建的新权限集,然后继续执行此过程的下一步。
-
-
确认选择了正确的权限集后,选择下一步。
-
-
对于步骤 3:查看并提交,在查看任务并将其提交到“
AWS-account-name
”页面上,执行以下操作:-
查看选定的用户、组和权限集。
-
确认选择了正确的用户、组和权限集之后,选择提交。
重要
用户和组的分配过程可能需要几分钟才能完成。等到此过程成功完成再关闭该页面。
注意
您可能需要授予用户或组在 AWS Organizations 管理帐户中进行操作的权限。由于它是一个高特权帐户,因此额外的安全限制要求您拥有 IAMFullAccess
策略或同等权限,然后才能进行此设置。您的 AWS 组织中的任何成员帐户都不需要这些额外的安全限制。
-