Considerazioni sulla durata della sessione per l'utilizzo delle fonti di identità, AWS CLI e AWS SDK

AWS Managed Microsoft AD: se si utilizza configure AWS Managed Microsoft AD in Servizio di directory AWS, la durata massima dei ticket Kerberos utente è fissata a 10 ore. Pertanto, la durata della sessione interattiva con l'utente è impostata sulla più breve tra le impostazioni dell'IAM Identity Center e su 10 ore. Ad esempio, se imposti la durata della sessione interattiva con l'utente su 12 ore, gli utenti devono autenticarsi nuovamente nel portale di AWS accesso dopo 10 ore. Lo stesso limite di 10 ore si applica alle sessioni prolungate per Kiro.

AD Connector: se si utilizza AD Connector configurato in Servizio di directory AWS, la durata massima dei ticket Kerberos utente è definita in Microsoft AD dietro AD Connector. Il valore predefinito è 10 ore e ha lo stesso effetto sulle sessioni interattive con l'utente e sulle sessioni estese. AWS Managed Microsoft AD Sebbene questo limite possa essere configurabile in Microsoft AD, si consiglia di collaborare con l'amministratore IT per valutare i rischi, soprattutto perché questa impostazione può influire sulla durata della sessione per altre applicazioni client Microsoft AD.

Se non SessionNotOnOrAfter viene trasmessa un'asserzione SAML, la durata di una sessione del portale di AWS accesso (interattiva con l'utente) e di una sessione estesa non è influenzata dalla durata della sessione IdP esterna. Ad esempio, se la durata della sessione IdP è di 24 ore e imposti una durata della sessione di 18 ore in IAM Identity Center, gli utenti devono autenticarsi nuovamente nel portale di accesso dopo 18 ore. AWS Allo stesso modo, se imposti una sessione estesa di 90 giorni per Kiro, gli utenti di Kiro devono autenticarsi nuovamente dopo 90 giorni.

Se SessionNotOnOrAfter viene passata un'asserzione SAML, il valore della durata della sessione viene impostato sulla durata più breve tra la sessione o la sessione estesa del portale di AWS accesso (interattiva con l'utente) e la durata della sessione SAML IdP. Se imposti una durata della sessione di 72 ore in IAM Identity Center e il tuo IdP ha una durata della sessione di 18 ore, i tuoi utenti avranno accesso alle AWS risorse per le 18 ore definite nel tuo IdP. Allo stesso modo, se imposti una sessione estesa di 90 giorni per Kiro, gli utenti di Kiro devono autenticarsi nuovamente in Kiro dopo 18 ore.

Se la durata della sessione del tuo IdP è superiore a quella impostata in IAM Identity Center, i tuoi utenti possono iniziare una nuova sessione di IAM Identity Center senza reinserire le proprie credenziali, in base alla sessione di accesso ancora valida con il tuo IdP.

È necessario configurare la durata della sessione del portale di AWS accesso nella console IAM Identity Center.

È necessario definire un profilo per le impostazioni Single Sign-on nel file di AWS configurazione condiviso. Questo profilo viene utilizzato per connettersi al portale di accesso. AWS Ti consigliamo di utilizzare la configurazione del provider di token SSO. Con questa configurazione, l' AWS SDK o lo strumento possono recuperare automaticamente i token di autenticazione aggiornati. Per ulteriori informazioni, consulta la configurazione del provider di token SSO nella Guida di riferimento di AWS SDK and Tools.

Gli utenti devono eseguire una versione AWS CLI o un SDK che supporti la gestione delle sessioni.

AWS CLI V2 2.9 o versioni successive

AWS CLI V1 1.27.10 o successivo