View a markdown version of this page

了解您的整合 - AWS Identity and Access Management
1. 使用者體驗和工作流程設計2. API 整合3. 資源組態和協調

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

了解您的整合

完成加入程序後，您可以建立與 IAM 臨時委派的整合。完整的整合通常涉及三個主要的工作類別：

1. 使用者體驗和工作流程設計

在合作夥伴應用程式中建立前端體驗，引導客戶完成暫時委派工作流程。合作夥伴應用程式應該：

  • 提供明確的加入或組態流程，讓客戶可以授予暫時存取權。清楚標記此動作，例如「使用 IAM 暫時委派進行部署」。

  • 將客戶重新導向至 AWS 管理主控台，以使用 CreateDelegationRequest API 傳回的主控台連結來檢閱和核准委派請求

  • 提供有關請求哪些許可及其原因的適當訊息。客戶可以在委派請求詳細資訊頁面上看到此訊息。

  • 在客戶完成核准後，處理客戶傳回至您的應用程式 AWS。

暫時委派請求的最佳實務

為您的合作夥伴應用程式實作暫時委派時，請遵循下列定義的最佳實務，協助客戶驗證請求真實性和準確性。

1。在請求訊息中包含使用者可識別的內容

您應該在委派請求訊息中包含使用者特定的內容。此資訊可協助使用者從現有的合作夥伴工作流程中識別請求，並區分合法請求。請求訊息中建議的資訊：

  • 服務中的客戶帳戶識別符或使用者名稱

  • 工作區名稱、訂閱 ID 或組織識別符

  • 正在存取的特定資源 （叢集名稱、專案名稱、環境）

  • 為此委派嘗試產生的唯一交易或請求識別符

請求訊息範例：


Request from Partner A workspace "production-analytics"
Account: user@example.com
Workspace ID: 1234ABCD
Cluster: ml-training-cluster-01
Request ID: 1111-2222-3333-4444

2. 選用：啟動委派時包含 AWS 帳戶 ID

如果客戶帳戶 ID 可用，請將其包含在委派請求中。此驗證步驟會在客戶的意圖和委派字符之間建立額外的繫結。

3. 安全驗證的設計請求訊息

建構您的請求訊息，讓客戶在授予存取權之前可放心地驗證合法性。使用者體驗需求：

  • 在重新導向至 之前，在您的應用程式界面中顯著顯示請求訊息 AWS

  • 使用直接連接到客戶目前動作的清晰、描述性語言

  • 避免可能套用至任何委派請求的一般訊息

  • 包含足夠的詳細資訊，讓客戶確認請求符合其預期的工作流程

  • 顯示將接收委派存取權 AWS 的帳戶 ID

  • 明確說明您的應用程式將請求哪些許可

將客戶重新導向至 AWS 同意畫面之前，請在應用程式中包含確認通知：


⚠️ Redirecting to IAM Temporary Delegation
You are about to grant [Your Service Name] temporary access to your AWS account.

Before clicking "Allow" on the AWS consent screen:
• Verify the request details match your current action
• Confirm the AWS account ID matches your intended account
• Ensure you initiated this request from [Your Service Name]

4. 工作階段繫結建議

當 AWS IAM 處理核心授權流程時，請在應用程式中實作這些實務，以強化工作階段完整性：

  • 為每個委派嘗試產生唯一的單次使用請求識別符

  • 將委派請求與客戶的作用中應用程式工作階段建立關聯

  • 根據您的委派程序實作適當的請求過期

  • 驗證委派回呼是否符合原始請求內容

  • 記錄所有委派請求啟動和完成以進行安全性監控

遵循這些最佳實務，有助於建立更安全的暫時委派體驗。

2. API 整合

使用 IAM 暫時委派 APIs來傳送和管理委派請求。註冊 AWS 帳戶後，您可以存取下列 APIs：

  • IAM CreateDelegationRequest – 為客戶 AWS 的帳戶建立委派請求。此 API 會傳回主控台連結，您將客戶重新導向至 以檢閱和核准請求。

  • AWS STS GetDelegatedAccessToken – 在客戶核准委派請求後擷取臨時 AWS 憑證。使用這些登入資料在客戶的帳戶中執行動作。

您的整合應處理委派請求的完整生命週期，包括建立請求、監控其狀態，以及在核准時擷取臨時憑證。

3. 資源組態和協調

取得臨時登入資料後，請協調必要的工作流程，以設定客戶 AWS 帳戶中的資源。這可能包括：

  • 直接呼叫 AWS 服務 APIs以建立和設定資源

  • 使用 AWS CloudFormation 範本部署基礎設施

  • 建立持續存取的 IAM 角色 （需要使用許可界限）

您的協同運作邏輯應該是等冪的，並正常處理失敗，因為客戶可能需要重試或修改其委派核准。