Überlegungen zur Sitzungsdauer bei der Verwendung von Identitätsquellen: AWS CLI und AWS SDKs

AWS Managed Microsoft AD: Wenn Sie Configure AWS Managed Microsoft AD in verwenden AWS Directory Service, ist die maximale Gültigkeitsdauer für Benutzer-Kerberos-Tickets auf 10 Stunden festgelegt. Daher ist die Dauer interaktiver Benutzersitzungen auf 10 Stunden festgelegt, je nachdem, welcher Wert in der IAM Identity Center-Einstellung liegt, je nachdem, welcher Wert kürzer ist. Wenn Sie beispielsweise die Dauer interaktiver Benutzersitzungen auf 12 Stunden festlegen, müssen sich Ihre Benutzer nach 10 Stunden erneut im AWS Access Portal authentifizieren. Das gleiche 10-Stunden-Limit gilt für längere Sitzungen für Kiro.

AD Connector: Wenn Sie AD Connector verwenden, der in konfiguriert ist AWS Directory Service, wird die maximale Gültigkeitsdauer für Benutzer-Kerberos-Tickets in Microsoft AD hinter dem AD Connector definiert. Der Standardwert ist 10 Stunden und hat den gleichen Effekt auf interaktive Benutzersitzungen und erweiterte Sitzungen wie für. AWS Managed Microsoft AD Obwohl dieses Limit in Microsoft AD konfigurierbar sein kann, empfehlen wir, dass Sie mit Ihrem IT-Administrator zusammenarbeiten, um die Risiken abzuwägen, insbesondere, weil sich diese Einstellung auf die Sitzungsdauer für andere Microsoft AD-Clientanwendungen auswirken kann.

Wenn keine SAML-Assertion übergeben SessionNotOnOrAfter wird, wird die Dauer einer AWS Access Portal-Sitzung (benutzerinteraktiv) und einer erweiterten Sitzung nicht von der Dauer Ihrer externen IdP-Sitzung beeinflusst. Wenn Ihre IdP-Sitzung beispielsweise 24 Stunden dauert und Sie im IAM Identity Center eine Sitzungsdauer von 18 Stunden festlegen, müssen sich Ihre Benutzer nach 18 Stunden erneut im Access Portal authentifizieren. AWS Ebenso müssen sich Ihre Kiro-Benutzer nach 90 Tagen erneut authentifizieren, wenn Sie eine verlängerte 90-tägige Sitzung für Kiro einrichten.

Wenn eine SAML-Assertion übergeben SessionNotOnOrAfter wird, wird der Wert für die Sitzungsdauer auf den kürzeren Wert aus der Sitzung oder der erweiterten Sitzung im AWS Access Portal (interaktiv) und der Dauer Ihrer SAML-IdP-Sitzung gesetzt. Wenn Sie im IAM Identity Center eine Sitzungsdauer von 72 Stunden festlegen und Ihr IdP eine Sitzungsdauer von 18 Stunden hat, haben Ihre Benutzer für die in Ihrem IdP definierten 18 Stunden Zugriff auf AWS Ressourcen. Ebenso müssen sich Ihre Kiro-Benutzer nach 18 Stunden erneut in Kiro authentifizieren, wenn Sie eine verlängerte 90-tägige Sitzung für Kiro einrichten.

Wenn die Sitzungsdauer Ihres IdP länger ist als die im IAM Identity Center festgelegte, können Ihre Benutzer eine neue IAM Identity Center-Sitzung starten, ohne ihre Anmeldeinformationen erneut eingeben zu müssen, basierend auf ihrer immer noch gültigen Anmeldesitzung mit Ihrem IdP.

Sie müssen die Sitzungsdauer des AWS Access Portals in der IAM Identity Center-Konsole konfigurieren.

Sie müssen ein Profil für Single-Sign-On-Einstellungen in Ihrer gemeinsam genutzten AWS Konfigurationsdatei definieren. Dieses Profil wird verwendet, um eine Verbindung zum AWS Access-Portal herzustellen. Wir empfehlen, die Konfiguration des SSO-Token-Anbieters zu verwenden. Mit dieser Konfiguration kann Ihr AWS SDK oder Tool automatisch aktualisierte Authentifizierungstoken abrufen. Weitere Informationen finden Sie unter Konfiguration des SSO-Token-Anbieters im AWS SDK- und Tools-Referenzhandbuch.

Benutzer müssen eine Version des AWS CLI oder eines SDK ausführen, das die Sitzungsverwaltung unterstützt.

AWS CLI V2 2.9 oder höher

AWS CLI V1 1.27.10 oder höher