Proveedor de credenciales del IAM Identity Center

Este mecanismo de autenticación utiliza AWS IAM Identity Center para obtener acceso de inicio de sesión único (SSO) a Servicios de AWS para su código.

Tras activar IAM Identity Center, debe definir un perfil para su configuración en el archivo compartido config de AWS. Este perfil se utiliza para conectarse al portal de acceso a IAM Identity Center. Cuando un usuario se autentica correctamente en IAM Identity Center, el portal devuelve las credenciales de corta duración para el rol de IAM asociado a ese usuario. Para descubrir cómo el SDK obtiene las credenciales temporales de la configuración y las utiliza para las solicitudes de Servicio de AWS, consulte Cómo se resuelve la autenticación de IAM Identity Center para los SDK y las herramientas de AWS.

Hay dos formas de configurar IAM Identity Center a través del archivo config:

En ambas configuraciones, tendrá que volver a iniciar sesión cuando caduque la sesión.

Las dos guías siguientes contienen información adicional sobre IAM Identity Center:

Para obtener información detallada sobre cómo los SDK y las herramientas utilizan y actualizan las credenciales con esta configuración, consulte Cómo se resuelve la autenticación de IAM Identity Center para los SDK y las herramientas de AWS.

Requisitos previos

Primero debe activar el IAM Identity Center. Para más detalles sobre la activación de la autenticación en el IAM Identity Center, consulte la Habilitación AWS IAM Identity Center en la Guía del usuario de AWS IAM Identity Center.

Configuración del proveedor de token de SSO

Al usar la configuración del proveedor de token de SSO, su SDK o la herramienta de AWS actualizan automáticamente la sesión hasta el período de sesión extendido. Para obtener más información sobre la duración de la sesión y la duración máxima, consulte Configuración de la duración de la sesión del portal de acceso de AWS y aplicaciones integradas del IAM Identity Center en la Guía del usuario de AWS IAM Identity Center.

La sección sso-session del archivo config se usa para agrupar las variables de configuración para adquirir los tokens de acceso SSO, que luego se pueden usar para adquirir credenciales de AWS. Para obtener más información sobre esta sección dentro de un archivo config, consulte Formato del archivo de configuración.

En el siguiente ejemplo de archivo config compartido se configura el SDK o la herramienta mediante un perfil dev para que solicite credenciales del IAM Identity Center.

[profile dev]
sso_session = my-sso
sso_account_id = 111122223333
sso_role_name = SampleRole

[sso-session my-sso]
sso_region = us-east-1
sso_start_url = https://my-sso-portal.awsapps.com/start
sso_registration_scopes = sso:account:access

En los siguientes ejemplos, se muestra cómo se define una sección sso-session y asóciela a un perfil. Normalmente, sso_account_id y sso_role_name deben establecerse en la sección profile para que el SDK pueda solicitar las credenciales de AWS. sso_region, sso_start_url y sso_registration_scopes deben estar establecidos dentro de la sección sso-session.

No obstante, sso_account_id y sso_role_name no son necesarios para todos los escenarios de configuración de token de SSO. Si su aplicación solo utiliza servicios de Servicios de AWS que admite la autenticación de portador, no son necesarias las credenciales de AWS tradicionales. La autenticación de portador es un esquema de autenticación HTTP que utiliza tokens de seguridad denominados tokens de portador. En este escenario, no se necesitan sso_account_id ni sso_role_name. Consulte la guía de Servicio de AWS individual para determinar si admite la autorización de token de portador.

Los ámbitos de registro se configuran como parte de un sso-session. El alcance es un mecanismo de OAuth 2.0 para limitar el acceso de una aplicación a la cuenta de un usuario. El anterior ejemplo establece sso_registration_scopes para proporcionar acceso para enumerar cuentas y roles.

En los siguientes ejemplos, se muestra cómo reutilizar la misma configuración sso-session en varios perfiles.

[profile dev]
sso_session = my-sso
sso_account_id = 111122223333
sso_role_name = SampleRole

[profile prod]
sso_session = my-sso
sso_account_id = 111122223333
sso_role_name = SampleRole2

[sso-session my-sso]
sso_region = us-east-1
sso_start_url = https://my-sso-portal.awsapps.com/start
sso_registration_scopes = sso:account:access

El token de autenticación se almacena en caché en el disco en el directorio ~/.aws/sso/cache con un nombre de archivo basado en el nombre de la sesión.

Configuración heredada no actualizable

La actualización automática de tokens no se admite con la configuración no actualizable heredada. Se recomienda utilizar el Configuración del proveedor de token de SSO en su lugar.

Para utilizar la configuración heredada no renovable, debe especificar los siguientes parámetros en su perfil:

Debe especificar el portal de usuario para un perfil con la configuración de sso_start_url y sso_region. Los permisos se especifican con la configuración de sso_account_id y sso_role_name.

En el siguiente ejemplo se definen los cuatro valores obligatorios del archivo config.

[profile my-sso-profile]
sso_start_url = https://my-sso-portal.awsapps.com/start
sso_region = us-west-2
sso_account_id = 111122223333
sso_role_name = SSOReadOnlyRole

El token de autenticación se almacena en caché en el disco en el directorio ~/.aws/sso/cache con un nombre de archivo basado en el sso_start_url.

Configuración del proveedor de credenciales del IAM Identity Center

Soporte mediante SKD y herramientas de AWS

Los siguientes SDK admiten las características y los ajustes descritos en este tema. Se anotan todas las excepciones parciales. Todos los ajustes de propiedades del sistema JVM son compatibles con AWS SDK para Java y AWS SDK para Kotlin únicamente.