撤消由权限集创建的主动IAM角色会话

获取必须撤销其访问权限之人的用户 ID。您可以使用身份存储APIs按用户名查找用户。

更新 “拒绝” 策略，将步骤 1 中的用户 ID 添加到您的服务控制策略（SCP）中。完成此步骤后，目标用户会失去访问权限，无法对受该策略影响的任何角色执行操作。

移除该用户的所有权限集分配。如果通过组成员资格分配访问权限，请将该用户从所有组和所有直接权限集分配中移除。此步骤可防止用户扮演任何其他IAM角色。如果用户拥有有效的 AWS 访问门户会话，而您禁用了该用户，则他们可以继续扮演新角色，直到您删除其访问权限。

如果您将身份提供者（IdP）或 Microsoft Active Directory 用作身份源，请在身份源中禁用该用户。禁用该用户可以防止创建其他 AWS 访问门户会话。使用你的 IdP 或 Microsoft Active Directory API 文档来学习如何自动执行此步骤。如果您使用 Ident IAM ity Center 目录作为身份源，请不要禁用用户访问权限。在步骤 6 中禁用用户访问权限。

在 IAM Identity Center 控制台中，找到该用户并删除其活动会话。

1. 选择用户。

2. 选择要删除其活跃会话的用户。

3. 在用户详细信息页面上，选择活跃会话选项卡。

4. 选中要删除的会话旁边的复选框，然后选择删除会话。

这可确保用户的 AWS 访问门户会话在大约 60 分钟内停止。了解会话持续时间。

在 Ident IAM ity Center 控制台中，禁用用户访问权限。

1. 选择用户。

2. 选择要禁用访问权限的用户。

3. 在用户详细信息页面上展开一般信息，然后选择禁用用户访问权限按钮，防止该用户继续登录。

保留“拒绝策略”至少 12 小时。否则，具有活动IAM角色会话的用户将恢复对该IAM角色的操作。如果您等待 12 小时，则活动会话将过期，用户将无法再次访问该IAM角色。