本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
访问控制属性
访问控制属性是 IAM Identity Center 控制台中的页面名称，您可以在其中选择要在策略中使用的用户属性来控制对资源的访问。您可以 AWS 根据用户身份源中的现有属性将用户分配给中的工作负载。
例如，假设您想要根据部门名称分配对 S3 桶的访问权限。在访问控制属性页面上，您可以选择部门用户属性以与基于属性的访问权限控制（ABAC）结合使用。然后，在 IAM Identity Center 权限集（使用账户访问管理器时为 IAM 角色）中，您可以编写一个策略，该策略仅在 “部门” 属性与您分配给 S3 存储桶的部门标签相匹配时才授予用户访问权限。IAM Identity Center 将用户的部门属性传递给正在访问的帐户。然后，该属性用于根据策略确定访问。当 IAM Identity Center 将这些属性传递给账户时，它们将作为会话标签发送，您可以使用所有相关的 AWS IAM 策略类型中的aws:PrincipalTag/条件密钥进行引用。有关 ABAC 的更多信息，请参阅Attribute-based 访问控制。tag-key
开始使用
如何开始配置访问控制属性取决于您使用的身份源。无论您选择哪种身份来源，选择属性后，都需要创建或编辑权限集策略（使用账户访问管理器时的 IAM 角色策略）。这些策略必须授予用户身份访问 AWS 资源的权限。
使用 IAM Identity Center 作为身份源时选择属性
当您将 IAM Identity Center 配置为身份源时，您首先添加用户并配置其属性。接下来，导航到访问控制的属性页面，然后选择要在策略中使用的属性。最后，导航到 AWS 账户 页面以创建或编辑权限集以使用 ABAC 的属性。
使用时选择属性 AWS Managed Microsoft AD 作为你的身份来源
当您将 IAM 身份中心配置 AWS Managed Microsoft AD 为身份源时，您首先将一组属性从 Active Directory 映射到 IAM 身份中心中的用户属性。接下来，导航到访问控制的属性页面。然后，根据从 Active Directory 映射的现有 SSO 属性集选择要在 ABAC 配置中使用的属性。最后，使用权限集中的访问控制属性（使用账户访问管理器时使用 IAM 角色）编写 ABAC 规则，以授予用户身份访问 AWS 资源的权限。有关 IAM 身份中心中用户属性与 AWS Managed Microsoft AD 目录中用户属性的默认映射列表，请参阅IAM 身份中心和之间的默认映射 微软 AD。
使用外部身份提供者作为身份源时选择属性
当您使用外部身份提供者（IdP）作为身份源配置 IAM Identity Center 时，有两种方法可以使用 ABAC 的属性。
-
在 IAM 身份中心控制台中配置属性映射。您可以将 IAM 身份中心目录中的属性映射到 IAM 身份中心控制台中访问控制属性页面上的会话标签。您在此处选择的属性值来自 Identity Center 目录，用于替换通过 SAML 断言来自 IdP 的任何匹配属性的值。根据您是否使用 SCIM，请考虑以下事项：
-
如果使用 SCIM，IdP 会自动将属性值同步到 IAM Identity Center。然后，您可以在 “访问控制的属性” 页面上选择这些同步的属性，以将其用作会话标记。
-
如果您不使用 SCIM，则必须手动添加用户并设置其属性，就像使用 IAM Identity Center 作为身份源一样。接下来，导航到访问控制的属性页面，然后选择要在策略中使用的属性。
-
-
通过 SAML 断言传递来自 IdP 的属性。您可以将 IdP 配置为通过 SAML 断言将属性作为会话标签发送。为此，请将您的 IdP 配置为发送属性名称设置为 SAML 断言
https://aws.amazon.com/SAML/Attributes/AccessControl:，替换为要填TagKeyTagKey充的会话标签密钥。IAM 身份中心将来自 IdP 的属性名称和值传递给策略评估。对于您通过外部 IdP 的 SAML 断言传入的属性，无需在访问控制的属性页面上配置 ABAC 属性映射。但是，如果您在 “访问控制的属性” 页面上为同一属性配置 ABAC 映射，则来自 Identity Center 目录的映射将优先，并将替换 IdP 在 SAML 断言中发送的值。
注意
SAML 断言中的属性在访问控制属性页面上对您不可见。您必须提前了解这些属性，并在编写策略时将它们添加到访问控制规则中。如果您决定信任外部 IdPs 获取属性，则这些属性将始终在用户联合到 AWS 账户时传递。有关如何在 IdP 中配置进行访问控制的用户属性以通过 SAML 断言发送的信息，请参阅 IdP IAM Identity Center 身份源教程。
有关 IAM 身份中心中用户属性与外部用户属性的支持属性的完整列表 IdPs，请参阅支持的外部身份提供商属性。
要开始在 IAM Identity Center 中使用 ABAC，请参阅以下主题。
