Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Identity-enhanced Sessioni di ruolo IAM

Servizio di token di sicurezza AWS(STS) consente a un'applicazione di ottenere una sessione di ruolo IAM con identità migliorata. Identity-enhanced le sessioni di ruolo hanno un contesto di identità aggiunto che porta un identificatore utente a chi chiama. Servizio AWS Servizi AWS può cercare le appartenenze ai gruppi e gli attributi dell'utente in IAM Identity Center e utilizzarli per autorizzare l'accesso dell'utente alle risorse.

AWS le applicazioni ottengono sessioni di ruolo con identità avanzate effettuando richieste all'azione AWS STS AssumeRole API e passando un'asserzione di contesto con l'identificatore dell'utente (userId) nel parametro della richiesta a. ProvidedContexts AssumeRole L'asserzione di contesto è ottenuta dal idToken claim ricevuto in risposta a una richiesta a. SSO OIDC CreateTokenWithIAM Quando un' AWS applicazione utilizza una sessione di ruolo con identità migliorata per accedere a una risorsa, CloudTrail registra la userId sessione iniziale e l'azione intrapresa. Per ulteriori informazioni, consulta Identity-enhanced Registrazione delle sessioni di ruolo IAM.

Tipi di sessioni di ruolo IAM con identità avanzate

AWS STS può creare due diversi tipi di sessioni di ruolo IAM con identità avanzate, a seconda dell'asserzione di contesto fornita alla richiesta. AssumeRole Le applicazioni che hanno ottenuto i token Id da IAM Identity Center possono aggiungere sts:identity_context (consigliato) o sts:audit_context (supportato per la compatibilità con le versioni precedenti) alle sessioni di ruolo IAM. Una sessione di ruolo IAM con identità avanzata può avere solo una di queste asserzioni di contesto, non entrambe.

Identity-enhanced Sessioni di ruolo IAM create con sts:identity_context

Quando una sessione di ruolo con identità migliorata contiene sts:identity_context il nome, Servizio AWS determina se l'autorizzazione della risorsa è basata sull'utente rappresentato nella sessione di ruolo o se è basata sul ruolo. Servizi AWS che supportano l'autorizzazione basata sull'utente forniscono all'amministratore dell'applicazione i controlli per assegnare l'accesso all'utente o ai gruppi di cui l'utente è membro.

Servizi AWS che non supportano l'autorizzazione basata sull'utente ignorano il. sts:identity_context CloudTrail registra l'ID utente dell'utente di IAM Identity Center con tutte le azioni intraprese dal ruolo. Per ulteriori informazioni, consulta Identity-enhanced Registrazione delle sessioni di ruolo IAM.

Per ottenere questo tipo di sessione di ruolo con identità migliorata AWS STS, le applicazioni forniscono il valore del sts:identity_context campo nella AssumeRole richiesta utilizzando il parametro request. ProvidedContexts Usa arn:aws:iam::aws:contextProvider/IdentityCenter come valore per. ProviderArn

Per ulteriori informazioni su come si comporta l'autorizzazione, consulta la documentazione per la ricezione Servizio AWS.

Identity-enhanced Sessioni di ruolo IAM create con sts:audit_context

In passato, sts:audit_context veniva utilizzato per consentire di Servizi AWS registrare l'identità dell'utente senza utilizzarla per prendere una decisione di autorizzazione. Servizi AWS sono ora in grado di utilizzare un unico contestosts:identity_context: - per raggiungere questo obiettivo e per prendere decisioni di autorizzazione. Si consiglia di utilizzare sts:identity_context in tutte le nuove implementazioni di Trusted Identity Propagation.

Identity-enhanced Registrazione delle sessioni di ruolo IAM

Quando viene effettuata una richiesta a una sessione di ruolo IAM che Servizio AWS utilizza un'identità avanzata, l'IAM Identity Center dell'utente userId viene connesso all'elemento. CloudTrail OnBehalfOf Il modo in cui gli eventi vengono registrati varia in base a CloudTrail . Servizio AWS Non tutti Servizi AWS registrano l'onBehalfOfelemento.

Di seguito è riportato un esempio di come viene effettuata l'accesso a una richiesta effettuata a una sessione di ruolo basata sull' Servizio AWS utilizzo di un'identità avanzata. CloudTrail

"userIdentity": {
      "type": "AssumedRole",
      "principalId": "AROAEXAMPLE:MyRole",
      "arn": "arn:aws:sts::111111111111:assumed-role/MyRole/MySession",
      "accountId": "111111111111",
      "accessKeyId": "ASIAEXAMPLE",
      "sessionContext": {
        "sessionIssuer": {
            "type": "Role",
            "principalId": "AROAEXAMPLE",
            "arn": "arn:aws:iam::111111111111:role/MyRole",
            "accountId": "111111111111",
            "userName": "MyRole"
        },
        "attributes": {
            "creationDate": "2023-12-12T13:55:22Z",
            "mfaAuthenticated": "false"
        }
    },
    "onBehalfOf": {
        "userId": "11111111-1111-1111-1111-1111111111",
        "identityStoreArn": "arn:aws:identitystore::111111111111:identitystore/d-111111111"
    }
}