本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

管理存取 AWS 帳戶

AWS IAM Identity Center 與整合 AWS Organizations，可讓您集中管理多個帳戶的權限， AWS 帳戶 而無需手動設定每個帳戶。您可以定義權限並將這些權限指派給員工使用者，以控制他們對特定的存取權限 AWS 帳戶。

AWS 帳戶 類型

AWS 帳戶 中有兩種類型 AWS Organizations：

如需有關 AWS 帳戶 類型的詳細資訊，請參閱AWS Organizations 使用指南中的AWS Organizations 術語和概念。

您也可以選擇將成員帳戶註冊為 IAM 身分中心的委派管理員。此帳戶中的使用者可以執行大部分的 IAM 身分中心管理任務。如需詳細資訊，請參閱 委派管理。

對於每個任務和帳戶類型，下表指出帳戶中的使用者是否可以執行 IAM 身分中心管理任務。

指派 AWS 帳戶 存取權

您可以使用權限集來簡化組織中的使用者和群組指派存取權的方式 AWS 帳戶。權限集會儲存在 IAM 身分中心，並定義使用者和群組必須存取的存取層級 AWS 帳戶。您可以建立單一權限集，並將其指派給組織 AWS 帳戶 內的多個權限集。您也可以將多個權限集指派給相同的使用者。

如需許可集合的詳細資訊，請參閱建立、管理及刪除權限集。

使用者體驗

AWS 存取入口網站可讓 IAM 身分中心使用者透過入口網站存取其所有指派 AWS 帳戶 和應用程式的單一登入存取權。 AWS 存取入口網站與管理 AWS 資源的服務主控台集合不同。AWS Management Console

當您建立權限集時，您為權限集指定的名稱會以可用角色的形式出現在 AWS 存取入口網站中。使用者登入 AWS 存取入口網站，選擇一個 AWS 帳戶，然後選擇角色。選擇角色之後，他們可以使用 AWS Management Console 或擷取暫時認證以程式設計方式存取 AWS 服務來存取 AWS 服務。

若要開啟 AWS Management Console 或擷取暫時認證以 AWS 程式設計方式存取，使用者必須完成下列步驟：

如需可 step-by-step 提供給員工使用者的指引，請參閱使用 AWS 存取入口網站和取得 AWS CLI 或 AWS SDK 的 IAM 身分中心使用者登入資料。

強制執行和限制存取

啟用 IAM 身分中心時，IAM 身分中心會建立服務連結角色。您也可以使用服務控制原則 (SCP)。

委派和強制執行存取

服務連結角色是直接連結至 AWS 服務的 IAM 角色類型。啟用 IAM 身分中心後，IAM 身分中心就可以在組織中的每個 AWS 帳戶 角色中建立服務連結角色。此角色提供預先定義的許可，可讓 IAM Identity Center 委派和強制執行哪些使用者對您組織中特定的特 AWS 帳戶 定使用者具有單一登入存取權 AWS Organizations。您必須指派一個或多個可存取帳戶的使用者，才能使用此角色。如需詳細資訊，請參閱 服務連結角色 及 針對 IAM 身分中心使用服務連結角色。

限制從成員帳戶存取身分識別存放區

對於 IAM 身分中心使用的身分識別存放區服務，具有成員帳戶存取權限的使用者可以使用需要讀取權限的 API 動作。成員帳戶可以存取 sso-directory 和識別存放區命名空間上的「讀取」動作。如需詳細資訊，請參閱服務授權參考中 AWS 識別身分存放區的 AWS IAM Identity Center 目錄和動作、資源和條件金鑰的動作、資源和條件金鑰。

若要防止成員帳戶中的使用者使用身分識別存放區中的 API 作業，您可以附加服務控制原則 (SCP)。SCP 是一種組織原則，可用來管理組織中的權限。下列範例 SCP 可防止成員帳戶中的使用者存取身分識別存放區中的任何 API 作業。

        {
            "Sid": "ExplicitlyBlockIdentityStoreAccess",
            "Effect": "Deny",
            "Action": "identitystore:*", "sso-directory:*"],
            "Resource": "*"
        }

如需詳細資訊，請參閱《AWS Organizations 使用者指南》中的服務控制政策 (SCP)。