Configuration de l’authentification IAM Identity Center à l’aide de l’AWS CLI

1. Recueillez les valeurs SSO Start URL et SSO Region dont vous avez besoin pour exécuter aws configure sso

   1. Dans votre portail d’accès AWS, sélectionnez le jeu d’autorisations que vous utilisez pour le développement, puis sélectionnez le lien Clés d’accès.

   2. Dans la boîte de dialogue Obtenir des informations d’identification, choisissez l’onglet correspondant à votre système d’exploitation.

   3. Choisissez la méthode Informations d’identification IAM Identity Center pour obtenir les valeurs SSO Start URL et SSO Region.

2. À compter de la version 2.22.0, vous pouvez également utiliser l’URL de l’émetteur au lieu de l’URL de démarrage. L’URL de l’émetteur se trouve dans la console AWS IAM Identity Center à l’un des emplacements suivants :

   • Sur la page Tableau de bord, l’URL de l’émetteur se trouve dans le récapitulatif des paramètres.

   • Sur la page Paramètres, l’URL de l’émetteur se trouve dans les paramètres de la source d’identité.

3. Pour plus d’informations sur la valeur des portées à enregistrer, consultez Portées des accès OAuth 2.0 dans le Guide de l’utilisateur IAM Identity Center.

Pour configurer un profil IAM Identity Center pour votre AWS CLI :

1. Dans votre terminal préféré, exécutez la commande aws configure sso.

   (Recommended) IAM Identity Center

   Créez un nom de session, indiquez l’URL de démarrage ou l’URL de l’émetteur d’IAM Identity Center, la Région AWS qui héberge l’annuaire IAM Identity Center, ainsi que la portée d’enregistrement.

   $ aws configure sso
   SSO session name (Recommended): my-sso
   SSO start URL [None]: https://my-sso-portal.awsapps.com/start
   SSO region [None]: us-east-1
   SSO registration scopes [None]: sso:account:access

   L’autorisation PKCE (Proof Key for Code Exchange) est utilisée par défaut pour l’AWS CLI à compter de la version 2.22.0 et elle doit être utilisée sur les appareils disposant d’un navigateur. Pour continuer à utiliser l’autorisation d’appareil, ajoutez l’option --use-device-code.

   $ aws configure sso --use-device-code

   Legacy IAM Identity Center

   Ignorez le nom de session, puis indiquez l’URL de démarrage d’IAM Identity Center et la région AWS qui héberge l’annuaire Identity Center.

   $ aws configure sso
   SSO session name (Recommended):
   SSO start URL [None]: https://my-sso-portal.awsapps.com/start
   SSO region [None]:us-east-1

2. L’AWS CLI essaie d’ouvrir votre navigateur par défaut pour le processus de connexion de votre compte IAM Identity Center. Ce processus peut vous inviter à autoriser l’AWS CLI à accéder à vos données. Étant donné que l’AWS CLI repose sur le kit SDK pour Python, les messages d’autorisation peuvent contenir des variantes du nom botocore.

   • Si l’AWS CLI ne peut pas ouvrir le navigateur, les instructions pour démarrer manuellement le processus de connexion s’affichent en fonction du type d’autorisation que vous utilisez.

     PKCE authorization

     L’autorisation PKCE (Proof Key for Code Exchange) est utilisée par défaut pour l’AWS CLI à compter de la version 2.22.0. L’URL affichée est une URL unique commençant par : https://oidc.us-east-1.amazonaws.com/authorize

     Les URL d’autorisation PKCE doivent être ouvertes sur le même appareil que celui auquel vous vous connectez et elles doivent être utilisées pour un appareil doté d’un navigateur.

     Attempting to automatically open the SSO authorization page in your 
     default browser.
     If the browser does not open or you wish to use a different device to 
     authorize the request, open the following URL:
     
     https://oidc.us-east-1.amazonaws.com/authorize?<abbreviated>

     Device authorization

     L’autorisation d’appareil OAuth 2.0 est utilisée par l’AWS CLI dans les versions antérieures à 2.22.0. Vous pouvez activer cette méthode sur les versions plus récentes à l’aide de l’option --use-device-code.

     Il n’est pas nécessaire que les URL d’autorisation d’appareil soient ouvertes sur le même appareil que celui auquel vous vous connectez et elles peuvent être utilisées pour un appareil doté ou non d’un navigateur.

     If the browser does not open or you wish to use a different device to 
     authorize this request, open the following URL:
     https://device.sso.us-west-2.amazonaws.com/
     
     Then enter the code:
     QCFK-N451

     Afficher plusAfficher moins

3. Sélectionnez le compte AWS à utiliser dans la liste qui s’affiche. Si vous n’êtes autorisé à utiliser qu’un seul compte, l’AWS CLI sélectionne automatiquement ce compte et ignore l’invite.

   There are 2 AWS accounts available to you.
   > DeveloperAccount, developer-account-admin@example.com (123456789011) 
     ProductionAccount, production-account-admin@example.com (123456789022)

4. Sélectionnez le rôle IAM à utiliser dans la liste qui s’affiche. Si un seul rôle est disponible, l’AWS CLI sélectionne automatiquement ce rôle et ignore l’invite.

   Using the account ID 123456789011
   There are 2 roles available to you.
   > ReadOnly
     FullAccess

5. Spécifiez le format de sortie par défaut, la Région AWS par défaut à laquelle envoyer les commandes, ainsi qu’un nom pour le profil. Si vous spécifiez default comme nom de profil, ce profil devient le profil par défaut utilisé. Dans l’exemple suivant, l’utilisateur entre une région par défaut, un format de sortie par défaut et le nom du profil.

   Default client Region [None]: us-west-2<ENTER>
   CLI default output format (json if not specified) [None]: json<ENTER>
   Profile name [123456789011_ReadOnly]: my-dev-profile<ENTER>

6. Un message final décrit la configuration de profil terminée. Vous pouvez désormais utiliser ce profil pour demander des informations d’identification. Utilisez la commande aws sso login pour demander et extraire les informations d’identification temporaires nécessaires à l’exécution des commandes. Pour obtenir des instructions, consultez Connexion à une session IAM Identity Center.