配置 AWS 访问门户和 IAM Identity Center 集成应用程序的会话持续时间 - AWS IAM Identity Center
先决条件和注意事项

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

配置 AWS 访问门户和 IAM Identity Center 集成应用程序的会话持续时间

IAM Identity Center 管理员可以为与 IAM Identity Center 和 AWS 访问门户集成的应用程序配置会话持续时间。对 AWS 访问门户 和 IAM Identity Center 集成应用程序进行身份验证的会话持续时间是用户无需重新进行身份验证即可登录的最大时长。IAM Identity Center 管理员可以结束有效的 AWS 访问门户会话，这样也可以结束集成应用程序的会话。

默认会话持续时间为 8 小时。IAM Identity Center 管理员可以指定不同的持续时间，从最少 15 分钟到最长 90 天不等。有关身份验证会话持续时间和用户行为的更多信息，请参阅身份中心中的IAM身份验证。

注意

修改 AWS 访问门户会话持续时间和结束 AWS 访问门户会话不会影响您在权限集中定义的 AWS Management Console 会话持续时间。

以下主题提供了有关配置 AWS 访问门户和 IAM Identity Center 集成应用程序的会话持续时间的信息。

先决条件和注意事项

以下是为 AWS 访问门户和 IAM Identity Center 集成应用程序配置会话持续时间的先决条件和注意事项。

Active Directory

如果您使用 Active Directory 作为 IAM 身份中心的身份源，则不支持会话管理 AWS Management Console。这意味着您将无法查看或执行以下任何会话管理任务：

  • 更改会话持续时间

  • 终止会话

  • 列出会话

外部身份提供者

IAM Identity Center 使用 SAML 断言中的 SessionNotOnOrAfter 属性帮助确定会话在多长时间内有效。

  • 如果SessionNotOnOrAfter未在 SAML 断言中通过，则 AWS 访问门户会话的持续时间不受外部 IdP 会话持续时间的影响。例如，如果您的 IdP 会话持续时间为 24 小时，并且您在 IAM Identity Center 中设置了 18 小时的会话时长，则您的用户必须在 18 小时后在 AWS 访问门户中重新进行身份验证。

  • 如果在 SAML 断言中传递，SessionNotOnOrAfter则会话持续时间值将设置为 AWS 访问门户会话持续时间和您的 SAML IdP 会话持续时间中较短的一个。如果您在 IAM Identity Center 中设置了 72 小时的会话时长，并且您的 IdP 的会话持续时间为 18 小时，则您的用户将可以在您的 IdP 中定义的 18 小时内访问 AWS 资源。

  • 如果您 IdP 的会话持续时间长于 IAM Identity Center 中设置的持续时间，由于您 IdP 的登录会话仍然有效，用户无需重新输入凭证即可启动新的 IAM Identity Center 会话。

AWS CLI 和 SDK 会话

如果您使用 AWS 软件开发套件 (SDKs) 或其他 AWS 开发工具以编程方式访问 AWS 服务，则必须满足以下先决条件才能为 AWS 访问门户和 IAM Identity Center 集成应用程序设置会话持续时间。 AWS Command Line Interface

  • 您必须在 IAM 身份中心控制台中配置 AWS 访问门户会话持续时间。

  • 您必须在共享 AWS 配置文件中为单点登录设置定义配置文件。此配置文件用于连接到 AWS 访问门户。我们建议您使用 SSO 令牌提供程序配置。使用此配置，您的 AWS SDK 或工具可以自动检索刷新的身份验证令牌。有关更多信息，请参阅AWS SDK 和工具参考指南中的 SSO 令牌提供商配置。

  • 用户必须运行支持会话管理的版本 AWS CLI 或 SDK。

支持会话管理的 AWS CLI 最低版本

以下是支持会话管理的最低版本。 AWS CLI

  • AWS CLI V2 2.9 或更高版本

  • AWS CLI V1 1.27.10 或更高版本

有关如何安装或更新最新 AWS CLI 版本的信息，请参阅安装或更新最新版本的 AWS CLI。

如果您的用户正在运行 AWS CLI，则如果您在 IAM Identity Center 会话设置为到期之前刷新权限集，并且会话持续时间设置为 20 小时，而权限集持续时间设置为 12 小时，则 AWS CLI 会话的最长运行时间为 20 小时加 12 小时，总计 32 小时。有关 IAM Identity Center CLI 的更多信息，请参阅 AWS CLI 命令参考。

支持 IAM 身份中心会话管理的最低版本 SDKs

以下是支持 IAM 身份中心会话管理的最低版本。 SDKs

SDK 最低版本
Python 1.26.10
PHP 3.245.0
Ruby aws-sdk-core 3.167.0
Java V2 AWS 适用于 Java 的 SDK v2 (2.18.13)
Go V2 整个 SDK：2022-11-11 版本和特定的 Go 模块：1.18.0 credentials/v1.13.0, config/v
JS V2 2.1253.0
JS V3 v3.210.0
C++ 1.9.372
.NET v3.7.400.0
主题