Configurazione dell’autenticazione in Centro identità IAM con AWS CLI

1. Recupera i valori SSO Start URL e SSO Region necessari per eseguire aws configure sso

   1. Nel portale di accesso AWS seleziona il set di autorizzazioni che utilizzi per lo sviluppo e quindi seleziona il link Chiavi di accesso.

   2. Nella finestra di dialogo Ottieni le credenziali seleziona la scheda corrispondente al tuo sistema operativo.

   3. Scegli il metodo Credenziali Centro identità IAM per ottenere i valori SSO Start URL e SSO Region.

2. In alternativa, a partire dalla versione 2.22.0 puoi utilizzare l’URL dell’emittente anziché l’URL di avvio. L’URL dell’emittente si trova nella console AWS IAM Identity Center in una delle posizioni seguenti:

   • Nella pagina Dashboard l’URL dell’emittente si trova nel riepilogo delle impostazioni.

   • Nella pagina Impostazioni l’URL dell’emittente si trova nelle impostazioni in Origine identità.

3. Per informazioni su quale valore di ambito registrare, consulta Ambiti di accesso OAuth 2.0 nella Guida per l’utente del Centro identità IAM.

Per configurare un profilo Centro identità IAM per AWS CLI:

1. Nel terminale che preferisci esegui il comando aws configure sso.

   (Recommended) IAM Identity Center

   Crea un nome di sessione, fornisci l’URL di avvio di Centro identità IAM o l’URL dell’emittente, la Regione AWS che ospita la directory per Centro identità IAM e l’ambito di registrazione.

   $ aws configure sso
   SSO session name (Recommended): my-sso
   SSO start URL [None]: https://my-sso-portal.awsapps.com/start
   SSO region [None]: us-east-1
   SSO registration scopes [None]: sso:account:access

   Per impostazione predefinita, viene utilizzata l’autorizzazione Proof Key for Code Exchange (PKCE) per AWS CLI a partire dalla versione 2.22.0 e questa deve essere utilizzata su dispositivi dotati di browser. Per continuare a utilizzare l’autorizzazione del dispositivo, aggiungi l’opzione --use-device-code.

   $ aws configure sso --use-device-code

   Legacy IAM Identity Center

   Crea un nome di sessione e fornisci l’URL di avvio di Centro identità IAM e la Regione AWS che ospita la directory per Centro identità.

   $ aws configure sso
   SSO session name (Recommended):
   SSO start URL [None]: https://my-sso-portal.awsapps.com/start
   SSO region [None]:us-east-1

2. AWS CLI tenta di aprire il browser predefinito per il processo di accesso dell’account Centro di identità IAM. Questo processo può richiedere di consentire l’accesso di AWS CLI ai tuoi dati. Poiché AWS CLI è basato sull’SDK per Python, i messaggi di autorizzazione possono contenere variazioni del nome botocore.

   • Se AWS CLI non riesce ad aprire il browser, vengono visualizzate le istruzioni per avviare manualmente il processo di accesso in base al tipo di autorizzazione utilizzato.

     PKCE authorization

     Per impostazione predefinita, viene utilizzata l’autorizzazione Proof Key for Code Exchange (PKCE) per AWS CLI a partire dalla versione 2.22.0. L’URL visualizzato è un URL univoco che inizia con: https://oidc.us-east-1.amazonaws.com/authorize

     Gli URL di autorizzazione PKCE devono essere aperti sullo stesso dispositivo a cui effettui l’accesso e devono essere utilizzati per un dispositivo con browser.

     Attempting to automatically open the SSO authorization page in your 
     default browser.
     If the browser does not open or you wish to use a different device to 
     authorize the request, open the following URL:
     
     https://oidc.us-east-1.amazonaws.com/authorize?<abbreviated>

     Device authorization

     L’autorizzazione del dispositivo OAuth 2.0 viene utilizzata da AWS CLI per le versioni meno recenti rispetto alla 2.22.0. Puoi abilitare questo metodo sulle versioni più recenti utilizzando l’opzione --use-device-code.

     Gli URL di autorizzazione del dispositivo non devono essere aperti sullo stesso dispositivo a cui effettui l’accesso e possono essere utilizzati per un dispositivo con o senza browser.

     If the browser does not open or you wish to use a different device to 
     authorize this request, open the following URL:
     https://device.sso.us-west-2.amazonaws.com/
     
     Then enter the code:
     QCFK-N451

     Mostra piùMostra meno

3. Seleziona l’account AWS da utilizzare nell’elenco visualizzato. Se hai l’autorizzazione a utilizzare un solo account, AWS CLI seleziona automaticamente l’account in questione e ignora la richiesta.

   There are 2 AWS accounts available to you.
   > DeveloperAccount, developer-account-admin@example.com (123456789011) 
     ProductionAccount, production-account-admin@example.com (123456789022)

4. Seleziona il ruolo IAM da utilizzare nell’elenco visualizzato. Se è disponibile un solo ruolo, AWS CLI lo seleziona automaticamente e ignora la richiesta.

   Using the account ID 123456789011
   There are 2 roles available to you.
   > ReadOnly
     FullAccess

5. Specifica il formato di output predefinito, la Regione AWS predefinita a cui inviare i comandi e un nome per il profilo. Se specifichi default come nome del profilo, questo diventa il profilo predefinito utilizzato. Nell’esempio seguente l’utente immette la Regione predefinita, il formato di output predefinito e il nome del profilo.

   Default client Region [None]: us-west-2<ENTER>
   CLI default output format (json if not specified) [None]: json<ENTER>
   Profile name [123456789011_ReadOnly]: my-dev-profile<ENTER>

6. Un messaggio finale descrive la configurazione del profilo completata. Puoi ora utilizzare questo profilo per richiedere le credenziali. Utilizza il comando aws sso login per richiedere e recuperare le credenziali necessarie per eseguire i comandi. Per istruzioni, consulta Accedere a una sessione di Centro identità IAM.