# AWS CLI를 사용하여 IAM Identity Center 인증 구성
이 주제에서는 AWS CLI 명령을 실행하기 위한 자격 증명을 검색하기 위해 AWS IAM Identity Center으로 AWS CLI를 구성하는 방법(IAM Identity Center)에 대해 설명합니다. `config` 파일을 통해 AWS CLI 명령을 실행하기 위한 자격 증명을 얻기 위해 IAM Identity Center로 사용자를 인증하는 방법에는 크게 두 가지가 있습니다
+ **(권장)** SSO 토큰 공급자 구성.
+ 새로 고칠 수 없는 레거시 구성.
계정 ID와 역할을 사용하지 않는 보유자 인증을 사용하는 방법에 대한 자세한 내용은 *Amazon CodeCatalyst 사용 설명서*의 [CodeCatalyst와 함께 AWS CLI 사용하도록 설정하기](https://docs.aws.amazon.com/codecatalyst/latest/userguide/set-up-cli.html)를 참조하세요.
**참고**
AWS CLI 명령과 함께 IAM Identity Center를 사용하는 안내 프로세스는 [튜토리얼: AWS CLI에서 IAM Identity Center를 사용하여 Amazon S3 명령 실행](cli-configure-sso-tutorial.md) 섹션을 참조하세요.
**주제**
+ [사전 조건](#cli-configure-sso-prereqs)
+ [`aws configure sso` 마법사를 사용하여 프로파일 구성](#cli-configure-sso-configure)
+ [`aws configure sso-session` 마법사를 사용하여 `sso-session` 섹션만 구성합니다.](#cli-configure-sso-session)
+ [`config` 파일을 사용한 수동 구성](#cli-configure-sso-manual)
+ [IAM Identity Center 세션에 로그인](#cli-configure-sso-login)
+ [IAM Identity Center 프로파일로 명령 실행](#cli-configure-sso-use)
+ [IAM Identity Center 세션 로그아웃](#cli-configure-sso-logout)
+ [문제 해결](#cli-configure-sso-tshoot)
+ [관련 리소스](#cli-configure-sso-resources)
## 사전 조건
+ AWS CLI 설치. 자세한 내용은 [최신 버전의 AWS CLI 설치 또는 업데이트](getting-started-install.md) 섹션을 참조하세요.
+ 먼저 IAM ID 센터 내에서 SSO 인증에 액세스해야 합니다. AWS 보안 인증에 액세스하려면 다음 방법 중 하나를 선택합니다.
### IAM ID 센터를 통한 액세스 권한을 설정하지 않았습니다.
*AWS IAM Identity Center 사용 설명서*의 [시작하기](https://docs.aws.amazon.com/singlesignon/latest/userguide/getting-started.html)에 나온 지침을 따릅니다. 이 프로세스는 IAM Identity Center를 활성화하고, 관리자 사용자를 생성하고, 적절한 최소 권한 세트를 추가합니다.
**참고**
최소 권한을 적용하는 권한 세트를 생성합니다. 고용주가 이러한 목적으로 사용자 지정 권한 집합을 만든 경우가 아니라면 사전 정의된 `PowerUserAccess` 권한 집합을 사용하는 것이 좋습니다.
포털을 종료하고 다시 로그인하면 AWS 계정, 프로그래밍 방식 액세스 세부 정보, `Administrator` 또는 `PowerUserAccess` 옵션을 확인할 수 있습니다. SDK로 작업할 때 `PowerUserAccess`을 선택합니다.
### 이미 고용주가 관리하는 페더레이션 ID 공급자(예: Azure AD 또는 Okta)를 통해 AWS에 액세스할 수 있습니다.
ID 공급업체의 포털을 통해 AWS에 로그인합니다. 클라우드 관리자가 사용자 `PowerUserAccess`(개발자)에게 권한을 부여한 경우 액세스 권한이 있는 AWS 계정와 권한 집합이 표시됩니다. 권한 집합 이름 옆에는 해당 권한 집합을 사용하여 수동으로 또는 프로그래밍 방식으로 계정에 액세스할 수 있는 옵션이 표시됩니다.
사용자 지정 구현으로 인해 사용 권한 집합 이름이 달라지는 등 다양한 경험이 발생할 수 있습니다. 어떤 권한 세트를 사용할지 확실하지 않은 경우 IT 팀에 문의하세요.
### 이미 고용주가 관리하는 AWS 액세스 포털을 통해 AWS에 접속할 수 있습니다.
AWS 액세스 포털을 통해 AWS에 로그인합니다. 클라우드 관리자가 사용자 `PowerUserAccess`(개발자)에게 권한을 부여한 경우 액세스 권한이 있는 AWS 계정과 권한 집합이 표시됩니다. 권한 집합 이름 옆에는 해당 권한 집합을 사용하여 수동으로 또는 프로그래밍 방식으로 계정에 액세스할 수 있는 옵션이 표시됩니다.
### 이미 고용주가 관리하는 페더레이션된 사용자 지정 ID 공급업체를 통해 AWS에 액세스할 수 있습니다.
IT 팀에 문의하세요.
IAM Identity Center에 대한 액세스 권한을 얻은 후에는다음을 수행하여 IAM Identity Center 정보를 수집합니다.
1. `aws configure sso`를 실행하는 데 필요한 `SSO Start URL` 및 `SSO Region` 값 수집
1. AWS 액세스 포털에서 개발에 사용할 권한 세트를 선택하고 ****액세스 키 링크를 선택합니다.
1. **자격 증명 가져오기** 대화 상자에서 운영 체제와 일치하는 탭을 선택합니다.
1. **IAM Identity Center 자격 증명** 방법을 선택하여 `SSO Start URL` 및 `SSO Region` 값을 가져옵니다.
1. 또는 버전 2.22.0부터 시작 URL 대신 발급자 URL을 사용할 수 있습니다. 발급자 URL은 AWS IAM Identity Center 콘솔의 다음 위치 중 하나에 있습니다.
+ **대시보드** 페이지의 발급자 URL은 설정 요약에 있습니다.
+ **설정** 페이지의 발급자 URL은 **자격 증명 소스** 설정에 있습니다.
1. 등록할 범위 값에 대한 자세한 내용은 *IAM Identity Center 사용 설명서*의 [OAuth 2.0 액세스 범위](https://docs.aws.amazon.com/singlesignon/latest/userguide/customermanagedapps-saml2-oauth2.html#oidc-concept)를 참조하세요.
## `aws configure sso` 마법사를 사용하여 프로파일 구성
**AWS CLI에 IAM Identity Center 프로파일을**
1. 원하는 터미널에서 `aws configure sso` 명령을 실행합니다.
------
#### [ (Recommended) IAM Identity Center ]
세션 이름을 만들고, IAM Identity Center 시작 URL 또는 발급자 URL, IAM Identity Center 디렉터리를 호스팅하는 AWS 리전 및 등록 범위를 입력합니다.
```
$ aws configure sso
SSO session name (Recommended): my-sso
SSO start URL [None]: https://my-sso-portal.awsapps.com/start
SSO region [None]: us-east-1
SSO registration scopes [None]: sso:account:access
```
듀얼 스택 지원을 위해서는 듀얼 스택 SSO 시작 URL을 사용합니다.
```
$ aws configure sso
SSO session name (Recommended): my-sso
SSO start URL [None]: https://ssoins-1234567890abcdef.portal.us-east-1.app.aws
SSO region [None]: us-east-1
SSO registration scopes [None]: sso:account:access
```
PKCE(Proof Key for Code Exchange) 권한 부여는 버전 **2.22.0**부터 AWS CLI에 기본적으로 사용되며 브라우저가 있는 디바이스에서 사용해야 합니다. 디바이스 권한 부여를 계속 사용하려면 `--use-device-code` 옵션을 추가합니다.
```
$ aws configure sso --use-device-code
```
------
#### [ Legacy IAM Identity Center ]
세션 이름을 건너뛰고 IAM Identity Center 시작 URL 및 Identity Center 디렉터리를 호스팅하는 AWS 리전을 입력합니다.
```
$ aws configure sso
SSO session name (Recommended):
SSO start URL [None]: https://my-sso-portal.awsapps.com/start
SSO region [None]:us-east-1
```
듀얼 스택 지원이 필요한 경우:
```
$ aws configure sso
SSO session name (Recommended):
SSO start URL [None]: https://ssoins-1234567890abcdef.portal.us-east-1.app.aws
SSO region [None]:us-east-1
```
------
1. AWS CLI는 IAM Identity Center 계정의 로그인 프로세스를 위해 기본 브라우저를 열려고 시도합니다. 이 과정에서 AWS CLI가 데이터에 액세스할 수 있도록 허용하라는 메시지가 표시될 수 있습니다. AWS CLI는 Python용 SDK를 기반으로 구축되므로 권한 메시지에는 `botocore` 이름의 변형이 포함될 수 있습니다.
+ **AWS CLI가 브라우저를 열 수 없는 경우** 사용 중인 권한 부여 유형에 따라 로그인 프로세스를 수동으로 시작하는 지침이 표시됩니다.
------
#### [ PKCE authorization ]
PKCE(Proof Key for Code Exchange) 권한 부여는 버전 2.22.0부터 AWS CLI에 기본적으로 사용됩니다. 표시되는 URL은 다음으로 시작하는 고유한 URL입니다.
+ IPv4: *https://oidc.us-east-1.amazonaws.com/authorize*
+ 듀얼 스택: *https://oidc.us-east-1.api.aws/authorize*
PKCE 권한 부여 URL은 로그인하는 디바이스와 동일한 디바이스에서 열어야 하며 브라우저가 있는 디바이스에 사용해야 합니다.
```
Attempting to automatically open the SSO authorization page in your
default browser.
If the browser does not open or you wish to use a different device to
authorize the request, open the following URL:
https://oidc.us-east-1.amazonaws.com/authorize?
```
------
#### [ Device authorization ]
OAuth 2.0 디바이스 권한 부여는 2.22.0 이전 버전에 대해 AWS CLI에서 사용됩니다. `--use-device-code` 옵션을 사용하여 최신 버전에서 이 방법을 활성화할 수 있습니다.
디바이스 권한 부여 URL은 로그인하는 디바이스와 동일한 디바이스에서 열 필요가 없으며 브라우저가 있거나 없는 디바이스에 사용할 수 있습니다. 엔드포인트 형식은 구성에 따라 다릅니다.
+ IPv4: *https://device.sso.us-west-2.amazonaws.com/*
+ 듀얼 스택: *https://device.sso.us-west-2.api.aws/*
```
If the browser does not open or you wish to use a different device to
authorize this request, open the following URL:
https://device.sso.us-west-2.amazonaws.com/
Then enter the code:
QCFK-N451
```
------
1. 표시된 목록에서 사용할 AWS 계정을 선택합니다. 계정을 하나만 사용할 수 있는 경우 AWS CLI는 자동으로 해당 계정을 선택하고 프롬프트를 건너뜁니다.
```
There are 2 AWS accounts available to you.
> DeveloperAccount, developer-account-admin@example.com (123456789011)
ProductionAccount, production-account-admin@example.com (123456789022)
```
1. 표시된 목록에서 사용할 IAM 역할을 선택합니다. 사용 가능한 역할이 하나만 있는 경우 AWS CLI는 자동으로 해당 역할을 선택하고 프롬프트를 건너뜁니다.
```
Using the account ID 123456789011
There are 2 roles available to you.
> ReadOnly
FullAccess
```
1. [기본 출력 형식](cli-configure-files.md#cli-config-output), 명령을 보낼 [기본 AWS 리전](cli-configure-files.md#cli-config-region), [프로파일의 이름](cli-configure-files.md)을 지정합니다. `default`를 프로파일 이름으로 지정하면 이 프로파일이 기본 프로파일로 사용됩니다. 다음 예제에서 사용자는 프로파일의 이름, 기본 리전 및 기본 출력 형식을 입력합니다.
```
Default client Region [None]: us-west-2
CLI default output format (json if not specified) [None]: json
Profile name [123456789011_ReadOnly]: my-dev-profile
```
1. 최종 메시지는 완료된 프로파일 구성을 설명합니다. 이제 이 프로파일을 사용하여 자격 증명을 요청할 수 있습니다. `aws sso login` 명령을 사용하여 명령을 실행하는 데 필요한 보안 인증 정보를 요청하고 검색합니다. 지침은 [IAM Identity Center 세션에 로그인](#cli-configure-sso-login) 섹션을 참조하세요.
### 생성된 구성 파일
이 단계를 수행하면 다음과 같이 `config` 파일에 `sso-session` 섹션과 이름이 지정된 프로파일이 생성됩니다.
------
#### [ IAM Identity Center ]
```
[profile my-dev-profile]
sso_session = my-sso
sso_account_id = 123456789011
sso_role_name = readOnly
region = us-west-2
output = json
[sso-session my-sso]
sso_region = us-east-1
sso_start_url = https://my-sso-portal.awsapps.com/start
sso_registration_scopes = sso:account:access
```
듀얼 스택 지원이 필요한 경우:
```
[profile my-dev-profile]
sso_session = my-sso
sso_account_id = 123456789011
sso_role_name = readOnly
region = us-west-2
output = json
[sso-session my-sso]
sso_region = us-east-1
sso_start_url = https://ssoins-1234567890abcdef.portal.us-east-1.app.aws
sso_registration_scopes = sso:account:access
```
------
#### [ Legacy IAM Identity Center ]
```
[profile my-dev-profile]
sso_start_url = https://my-sso-portal.awsapps.com/start
sso_region = us-east-1
sso_account_id = 123456789011
sso_role_name = readOnly
region = us-west-2
output = json
```
듀얼 스택 지원이 필요한 경우:
```
[profile my-dev-profile]
sso_start_url = https://ssoins-1234567890abcdef.portal.us-east-1.app.aws
sso_region = us-east-1
sso_account_id = 123456789011
sso_role_name = readOnly
region = us-west-2
output = json
```
------
## `aws configure sso-session` 마법사를 사용하여 `sso-session` 섹션만 구성합니다.
**참고**
이 구성은 레거시 IAM Identity Center와 호환되지 않습니다.
이 `aws configure sso-session` 명령은 `~/.aws/config` 파일의 `sso-session` 섹션을 업데이트합니다. `aws configure sso-session` 명령을 실행하고 IAM Identity Center 시작 URL 또는 발급자 URL과 IAM Identity Center 디렉터리를 호스팅하는 AWS 리전을 제공합니다.
```
$ aws configure sso-session
SSO session name: my-sso
SSO start URL [None]: https://my-sso-portal.awsapps.com/start
SSO region [None]: us-east-1
SSO registration scopes [None]: sso:account:access
```
듀얼 스택 지원을 위해서는 듀얼 스택 SSO 시작 URL을 사용합니다.
```
$ aws configure sso-session
SSO session name: my-sso
SSO start URL [None]: https://ssoins-1234567890abcdef.portal.us-east-1.app.aws
SSO region [None]: us-east-1
SSO registration scopes [None]: sso:account:access
```
## `config` 파일을 사용한 수동 구성
IAM Identity Center 구성 정보는 `config` 파일에 저장되며 텍스트 편집기를 사용하여 편집할 수 있습니다. 명명된 프로파일에 IAM Identity Center 지원을 수동으로 추가하려면 `config` 파일에 키와 값을 추가해야 합니다.
### IAM Identity Center 구성 파일
`config` 파일의 `sso-session` 섹션은 SSO 액세스 토큰을 획득하기 위한 구성 변수를 그룹화하는 데 사용되며, 이를 사용하여 AWS 보안 인증 정보를 얻을 수 있습니다. 다음 설정이 사용됩니다.
+ **(필수)** `sso\$1start\$1url`
+ **(필수)** `sso\$1region`
+ `sso\$1account\$1id`
+ `sso\$1role\$1name`
+ `sso\$1registration\$1scopes`
`sso-session` 섹션을 정의하고 프로파일에 연결합니다. `sso_region` 및 `sso_start_url` 설정은 `sso-session` 섹션 내에 설정해야 합니다. 일반적으로 SDK가 SSO 보안 인증 정보를 요청할 수 있도록 `profile` 섹션에서 `sso_account_id` 및 `sso_role_name`을 설정해야 합니다.
다음 예제는 SSO 보안 인증 정보를 요청하도록 SDK를 구성하고 자동 토큰 새로 고침을 지원합니다.
```
[profile dev]
sso_session = my-sso
sso_account_id = 111122223333
sso_role_name = SampleRole
[sso-session my-sso]
sso_region = us-east-1
sso_start_url = https://my-sso-portal.awsapps.com/start
```
듀얼 스택 지원을 위해서는 듀얼 스택 SSO 시작 URL 형식을 사용합니다.
```
[profile dev]
sso_session = my-sso
sso_account_id = 111122223333
sso_role_name = SampleRole
[sso-session my-sso]
sso_region = us-east-1
sso_start_url = https://ssoins-1234567890abcdef.portal.us-east-1.app.aws
```
이는 또한 여러 프로필에서 `sso-session` 구성을 재사용하도록 허용합니다.
```
[profile dev]
sso_session = my-sso
sso_account_id = 111122223333
sso_role_name = SampleRole
[profile prod]
sso_session = my-sso
sso_account_id = 111122223333
sso_role_name = SampleRole2
[sso-session my-sso]
sso_region = us-east-1
sso_start_url = https://my-sso-portal.awsapps.com/start
```
듀얼 스택 지원을 위해서는 듀얼 스택 SSO 시작 URL 형식을 사용합니다.
```
[profile dev]
sso_session = my-sso
sso_account_id = 111122223333
sso_role_name = SampleRole
[profile prod]
sso_session = my-sso
sso_account_id = 111122223333
sso_role_name = SampleRole2
[sso-session my-sso]
sso_region = us-east-1
sso_start_url = https://ssoins-1234567890abcdef.portal.us-east-1.app.aws
```
그러나 `sso_account_id` 및 `sso_role_name`은 SSO 토큰 구성의 모든 시나리오에 필수적이지는 않습니다. 애플리케이션이 보유자 인증 정보를 지원하는 AWS 서비스만 사용하는 경우 기존 AWS 보안 인증 정보는 필요하지 않습니다. 보유자 인증은 보유자 토큰이라는 보안 토큰을 사용하는 HTTP 인증 체계입니다. 이 시나리오에서는 `sso_account_id` 및 `sso_role_name`은 필수가 아닙니다. 해당 AWS 서비스가 보유자 토큰 인증을 지원하는지 확인하려면 해당 서비스의 개별 가이드를 참조하세요.
또한 등록 범위는 `sso-session`의 일부로 구성할 수 있습니다. 범위는 애플리케이션의 사용자 계정 액세스를 제한하는 OAuth 2.0의 메커니즘입니다. 애플리케이션은 하나 이상의 범위를 요청할 수 있으며 애플리케이션에 발급되는 액세스 토큰은 부여된 범위로 제한됩니다. 이러한 범위는 등록된 OIDC 클라이언트에 대해 인증받기 위해 요청된 권한과 클라이언트가 검색한 액세스 토큰을 정의합니다. 다음 예제는 계정/역할 목록에 대한 액세스 권한을 제공하도록 `sso_registration_scopes`를 설정합니다.
```
[sso-session my-sso]
sso_region = us-east-1
sso_start_url = https://my-sso-portal.awsapps.com/start
sso_registration_scopes = sso:account:access
```
듀얼 스택 지원이 필요한 경우:
```
[sso-session my-sso]
sso_region = us-east-1
sso_start_url = https://ssoins-1234567890abcdef.portal.us-east-1.app.aws
sso_registration_scopes = sso:account:access
```
인증 토큰은 세션 이름을 기반으로 하는 파일 이름을 사용하여 `sso/cache` 디렉터리 아래의 디스크에 캐시됩니다.
### 레거시 IAM Identity Center 구성 파일
**참고**
새로 고칠 수 없는 기존 구성을 사용하는 자동 토큰 새로 고침은 지원되지 않습니다. SSO 토큰 구성을 사용하는 것이 좋습니다.
명명된 프로파일에 IAM Identity Center 지원을 수동으로 추가하려면 `config` 파일의 프로파일 정의에 다음 키와 값을 추가해야 합니다.
+ `sso\$1start\$1url`
+ `sso\$1region`
+ `sso\$1account\$1id`
+ `sso\$1role\$1name`
`.aws/config` 파일에 유효한 다른 키와 값을 포함할 수 있습니다. 다음 예시는 IAM Identity Center 프로파일입니다.
```
[profile my-sso-profile]
sso_start_url = https://my-sso-portal.awsapps.com/start
sso_region = us-west-2
sso_account_id = 111122223333
sso_role_name = SSOReadOnlyRole
region = us-west-2
output = json
```
듀얼 스택 지원이 필요한 경우:
```
[profile my-sso-profile]
sso_start_url = https://ssoins-1234567890abcdef.portal.us-east-1.app.aws
sso_region = us-west-2
sso_account_id = 111122223333
sso_role_name = SSOReadOnlyRole
region = us-west-2
output = json
```
명령을 실행하려면 먼저 [IAM Identity Center 세션에 로그인](#cli-configure-sso-login)을 사용하여 임시 자격 증명을 요청하고 검색해야 합니다.
`config` 및 `credentials` 파일에 대한 자세한 내용은 [AWS CLI의 구성 및 보안 인증 파일 설정](cli-configure-files.md) 섹션을 참조하세요.
## IAM Identity Center 세션에 로그인
**참고**
로그인 과정에서 데이터 AWS CLI 액세스를 허용하라는 메시지가 표시될 수 있습니다. AWS CLI는 Python용 SDK를 기반으로 구축되므로 권한 메시지에는 `botocore` 이름의 변형이 포함될 수 있습니다.
IAM Identity Center 자격 증명 세트를 검색하고 캐시하려면 AWS CLI에서 다음 명령을 실행하여 기본 브라우저를 열고 IAM Identity Center 로그인을 확인합니다.
```
$ aws sso login --profile my-dev-profile
SSO authorization page has automatically been opened in your default browser.
Follow the instructions in the browser to complete this authorization request.
Successfully logged into Start URL: https://my-sso-portal.awsapps.com/start
```
IAM Identity Center 세션 자격 증명이 캐시되고 AWS CLI는 이를 사용하여 프로파일에 지정된 IAM 역할에 대한 AWS 자격 증명을 안전하게 검색합니다.
### AWS CLI가 브라우저를 열 수 없는 경우
AWS CLI가 브라우저를 자동으로 열 수 없는 경우 사용 중인 권한 부여 유형에 따라 로그인 프로세스를 수동으로 시작하는 지침이 표시됩니다.
------
#### [ PKCE authorization ]
PKCE(Proof Key for Code Exchange) 권한 부여는 버전 2.22.0부터 AWS CLI에 기본적으로 사용됩니다. 표시되는 URL은 다음으로 시작하는 고유한 URL입니다.
+ IPv4: *https://oidc.us-east-1.amazonaws.com/authorize*
+ 듀얼 스택: *https://oidc.us-east-1.api.aws/authorize*
PKCE 권한 부여 URL은 로그인하는 디바이스와 동일한 디바이스에서 열어야 하며 브라우저가 있는 디바이스에 사용해야 합니다.
```
Attempting to automatically open the SSO authorization page in your
default browser.
If the browser does not open or you wish to use a different device to
authorize the request, open the following URL:
https://oidc.us-east-1.amazonaws.com/authorize?
```
------
#### [ Device authorization ]
OAuth 2.0 디바이스 권한 부여는 2.22.0 이전 버전에 대해 AWS CLI에서 사용됩니다. `--use-device-code` 옵션을 사용하여 최신 버전에서 이 방법을 활성화할 수 있습니다.
디바이스 권한 부여 URL은 로그인하는 디바이스와 동일한 디바이스에서 열 필요가 없으며 브라우저가 있거나 없는 디바이스에 사용할 수 있습니다.
```
If the browser does not open or you wish to use a different device to
authorize this request, open the following URL:
https://device.sso.us-west-2.amazonaws.com/
Then enter the code:
QCFK-N451
```
------
`aws sso login` 명령의 `--sso-session` 파라미터를 사용하여 로그인할 때 사용할 `sso-session` 프로필을 지정할 수도 있습니다. 레거시 IAM Identity Center에서는 `sso-session` 옵션을 사용할 수 없습니다.
```
$ aws sso login --sso-session my-dev-session
```
버전 2.22.0부터 PKCE 권한 부여가 기본값입니다. 로그인에 디바이스 권한 부여를 사용하려면 `--use-device-code` 옵션을 추가합니다.
```
$ aws sso login --profile my-dev-profile --use-device-code
```
인증 토큰은 `sso_start_url` 기반한 파일 이름을 가진 `~/.aws/sso/cache` 디렉터리 아래의 디스크에 캐시됩니다.
## IAM Identity Center 프로파일로 명령 실행
로그인한 후에는 자격 증명을 사용하여 연결된 명명된 프로파일로 AWS CLI 명령을 호출할 수 있습니다. 다음 예시에서는 프로파일을 사용하는 명령을 보여줍니다.
```
$ aws sts get-caller-identity --profile my-dev-profile
```
IAM Identity Center에 로그인하고 캐시된 보안 인증 정보가 만료되지 않는 한 AWS CLI는 필요한 경우 만료된 AWS 보안 인증 정보를 자동으로 갱신합니다. 그러나 IAM Identity Center 보안 인증 정보가 만료되면 IAM Identity Center 계정에 다시 로그인하여 명시적으로 갱신해야 합니다.
## IAM Identity Center 세션 로그아웃
IAM Identity Center 프로파일 사용을 마치면 자격 증명을 만료하거나 다음 명령을 실행하여 캐시된 자격 증명을 삭제할 수 있습니다.
```
$ aws sso logout
Successfully signed out of all SSO profiles.
```
## 문제 해결
AWS CLI를 사용하는 데 문제가 발생할 경우 [AWS CLI에 대한 오류 문제 해결](cli-chap-troubleshooting.md)에 나온 문제 해결 단계를 참조하세요.
## 관련 리소스
추가 리소스는 다음과 같습니다.
+ [AWS CLI의 AWS IAM Identity Center 개념](cli-configure-sso-concepts.md)
+ [튜토리얼: AWS CLI에서 IAM Identity Center를 사용하여 Amazon S3 명령 실행](cli-configure-sso-tutorial.md)
+ [최신 버전의 AWS CLI 설치 또는 업데이트](getting-started-install.md)
+ [AWS CLI의 구성 및 보안 인증 파일 설정](cli-configure-files.md)
+ **AWS CLI 버전 2 참조의 [https://docs.aws.amazon.com/cli/latest/reference/configure/sso.html](https://docs.aws.amazon.com/cli/latest/reference/configure/sso.html)
+ **AWS CLI 버전 2 참조의 [https://docs.aws.amazon.com/cli/latest/reference/configure/sso-session.html](https://docs.aws.amazon.com/cli/latest/reference/configure/sso-session.html)
+ **AWS CLI 버전 2 참조의 [https://docs.aws.amazon.com/cli/latest/reference/sso/login.html](https://docs.aws.amazon.com/cli/latest/reference/sso/login.html)
+ **AWS CLI 버전 2 참조의 [https://docs.aws.amazon.com/cli/latest/reference/sso/logout.html](https://docs.aws.amazon.com/cli/latest/reference/sso/logout.html)
+ *Amazon CodeCatalyst 사용 설명서*의 [Setting up to use the AWS CLI with CodeCatalyst](https://docs.aws.amazon.com/codecatalyst/latest/userguide/set-up-cli.html)
+ *IAM Identity Center 사용 설명서*의 [OAuth 2.0 액세스 범위](https://docs.aws.amazon.com/singlesignon/latest/userguide/customermanagedapps-saml2-oauth2.html#oidc-concept)
+ *IAM Identity Center 사용 설명서*의 [시작하기 튜토리얼](https://docs.aws.amazon.com/singlesignon/latest/userguide/tutorials.html)
# AWS CLI의 AWS IAM Identity Center 개념
이 주제에서는 AWS IAM Identity Center(IAM Identity Center)의 주요 개념에 대해 설명합니다. IAM Identity Center는 기존 ID 제공업체(idP)와 통합하여 여러 AWS 계정, 애플리케이션, SDK 및 도구에서 사용자 액세스 관리를 간소화하는 클라우드 기반 IAM 서비스입니다. 중앙 집중식 사용자 포털을 통해 안전한 AWS Single Sign-On(SSO), 권한 관리 및 감사를 지원하여 조직의 ID 및 액세스 거버넌스를 간소화할 수 있습니다.
**Topics**
+ [IAM Identity Center 정의](#cli-configure-sso-concepts-what)
+ [용어](#cli-configure-sso-terms)
+ [IAM Identity Center 동기화 작동 방식](#cli-configure-sso-concepts-process)
+ [추가 리소스](#cli-configure-sso-concepts-resources)
## IAM Identity Center 정의
IAM Identity Center는 여러 AWS 계정 계정 및 비즈니스 애플리케이션에 대한 액세스를 중앙에서 관리할 수 있는 클라우드 기반 IAM(ID 및 액세스 관리) 서비스입니다.
권한이 부여된 사용자가 기존 기업 자격 증명을 사용하여 권한이 부여된 AWS 계정 계정 및 애플리케이션에 액세스할 수 있는 사용자 포털을 제공합니다. 이를 통해 조직은 일관된 보안 정책을 시행하고 사용자 액세스 관리를 간소화할 수 있습니다.
사용하는 IdP와 관계없이 IAM Identity Center는 이러한 구별을 추상화합니다. 예를 들어 [The Next Evolution in IAM Identity Center](https://aws.amazon.com/blogs/aws/the-next-evolution-in-aws-single-sign-on/) 블로그 문서에 설명된 대로 Microsoft Azure AD를 연결할 수 있습니다.
**참고**
계정 ID와 역할을 사용하지 않는 보유자 인증을 사용하는 방법에 대한 자세한 내용은 *Amazon CodeCatalyst 사용 설명서*의 [CodeCatalyst와 함께 AWS CLI 사용하도록 설정하기](https://docs.aws.amazon.com/codecatalyst/latest/userguide/set-up-cli.html)를 참조하세요.
## 용어
IAM Identity Center를 사용할 때 일반적으로 사용하는 용어는 다음과 같습니다.
**ID 제공업체(idP)**
IAM Identity Center, Microsoft Azure AD, Okta 또는 자체 기업 디렉터리 서비스와 같은 ID 관리 시스템입니다.
**AWS IAM Identity Center**
IAM Identity Center는 AWS 소유 idP 서비스입니다. 이전에는 AWS Single Sign-On으로 알려진 SDK 및 도구는 이전 버전과의 호환성을 위해 `sso` API 네임스페이스를 유지합니다. 자세한 내용은 *AWS IAM Identity Center 사용 설명서*의 [IAM Identity Center 이름 변경](https://docs.aws.amazon.com/singlesignon/latest/userguide/what-is.html#renamed)을 참조하세요.
**AWS 액세스 포털 URL, SSO 시작 URL, 시작 URL**
승인된 AWS 계정, 서비스 및 리소스에 액세스하기 위한 조직의 고유한 IAM Identity Center URL입니다.
**발급자 URL**
승인된 AWS 계정, 서비스 및 리소스에 액세스하기 위한 조직의 고유한 IAM Identity Center 발급자 URL입니다. AWS CLI의 버전 2.22.0부터 발급자 URL을 시작 URL과 교환하여 사용할 수 있습니다.
**연동**
Single Sign-On(SSO)을 활성화하기 위해 IAM Identity Center와 ID 제공업체 간에 신뢰를 구축하는 프로세스입니다.
**AWS 계정**
AWS IAM Identity Center을 통해 사용자에게 액세스 권한을 제공하는 AWS 계정입니다
**권한 세트, AWS 자격 증명, 자격 증명, sigv4 자격 증명**
AWS 서비스에 대한 액세스 권한을 부여하기 위해 사용자 또는 그룹에 할당할 수 있는 사전 정의된 권한 모음입니다.
**등록 범위, 액세스 범위, 범위**
범위는 애플리케이션의 사용자 계정 액세스를 제한하는 OAuth 2.0의 메커니즘입니다. 애플리케이션은 하나 이상의 범위를 요청할 수 있으며 애플리케이션에 발급되는 액세스 토큰은 부여된 범위로 제한됩니다. 범위에 대한 자세한 내용은 *IAM Identity Center 사용 설명서*의 [액세스 범위](https://docs.aws.amazon.com/singlesignon/latest/userguide/customermanagedapps-saml2-oauth2.html#oidc-concept) 섹션을 참조하세요.
**토큰, 토큰 새로 고침, 액세스 토큰**
토큰은 인증 시 발급되는 임시 보안 자격 증명입니다. 이 토큰에는 사용자의 신원 및 부여된 권한에 대한 정보가 포함되어 있습니다.
IAM Identity Center 포털을 통해 AWS 리소스 또는 애플리케이션에 액세스하면 인증 및 권한 부여를 위해 토큰이 AWS에 제공됩니다. 이를 통해 AWS는 사용자의 신원을 확인하고 요청된 작업을 수행하는 데 필요한 권한이 있는지 확인할 수 있습니다.
인증 토큰은 세션 이름을 기반으로 하는 JSON 파일 이름을 사용하여 `~/.aws/sso/cache` 디렉터리 아래의 디스크에 캐시됩니다.
**세션**
IAM Identity Center 세션은 사용자가 인증되고 AWS 리소스 또는 애플리케이션에 액세스할 수 있는 권한이 부여된 기간을 말합니다. 사용자가 IAM Identity Center 포털에 로그인하면 세션이 설정되고 사용자 토큰은 지정된 기간 동안 유효합니다. 세션 기간 설정에 대한 자세한 내용은 *AWS IAM Identity Center 사용 설명서*의 [세션 기간 설정](https://docs.aws.amazon.com/singlesignon/latest/userguide/howtosessionduration.html)을 참조하세요.
세션 중에는 세션이 활성 상태로 유지되는 한 재인증할 필요 없이 다른 AWS 계정과 애플리케이션 사이를 이동할 수 있습니다. 세션이 만료되면 다시 로그인하여 액세스 권한을 갱신합니다.
IAM Identity Center 세션은 원활한 사용자 경험을 제공하는 동시에 사용자 액세스 자격 증명의 유효성을 제한하여 보안 모범 사례를 시행하는 데 도움이 됩니다.
**PKCE, PKCE, PKCE(Proof Key for Code Exchange)가 포함된 권한 부여 코드 부여**
버전 2.22.0부터 PKCE(Proof Key for Code Exchange)는 브라우저가 있는 디바이스에 대한 OAuth 2.0 인증 권한 부여 흐름입니다. PKCE는 웹 브라우저를 사용하여 데스크톱 및 모바일 디바이스에서 AWS 리소스에 액세스하도록 인증하고 동의를 얻는 간단하고 안전한 방법입니다. 이는 기본 권한 부여 동작입니다. PKCE에 대한 자세한 내용은 *AWS IAM Identity Center 사용 설명서*의 [PKCE를 사용한 권한 부여 코드 부여](https://docs.aws.amazon.com/singlesignon/latest/userguide/customermanagedapps-saml2-oauth2.html#auth-code-grant-pkce)를 참조하세요.
**디바이스 인증 권한 허용**
웹 브라우저가 있거나 없는 디바이스에 대한 OAuth 2.0 인증 권한 부여 흐름입니다. 세션 기간 설정에 대한 자세한 내용은 *AWS IAM Identity Center 사용 설명서*의 [디바이스 권한 부여](https://docs.aws.amazon.com/singlesignon/latest/userguide/customermanagedapps-saml2-oauth2.html#device-auth-grant)를 참조하세요.
## IAM Identity Center 동기화 작동 방식
IAM Identity Center는 조직의 ID 제공업체(예: IAM Identity Center, Microsoft Azure AD 또는 Okta)와 통합됩니다. 사용자는 이 ID 제공업체에 대해 인증하고, IAM Identity Center는 해당 ID를 사용자의 AWS 환경 내의 적절한 권한 및 액세스에 매핑합니다.
다음 IAM Identity Center 워크플로에서는 이미 IAM Identity Center를 사용하도록 AWS CLI를 구성했다고 가정합니다.
1. 원하는 터미널에서 `aws sso login` 명령을 실행합니다.
1. AWS 액세스 포털에 로그인하여 새 세션을 시작합니다.
+ 새 세션을 시작하면 새로 고침 토큰과 캐시된 액세스 토큰을 받습니다.
+ 이미 활성 세션이 있는 경우 기존 세션이 재사용되며 기존 세션이 만료되면 만료됩니다.
1. `config` 파일에 설정한 프로파일에 따라 IAM Identity Center는 적절한 권한 세트를 가정하여 관련 AWS 계정 및 애플리케이션에 대한 액세스 권한을 부여합니다.
1. AWS CLI, SDK 및 도구는 해당 세션이 만료될 때까지 가정된 IAM 역할을 사용하여 Amazon S3 버킷 생성 등의 호출을 수행합니다.
1. IAM Identity Center의 액세스 토큰은 매시간 확인되며 새로 고침 토큰을 사용하여 자동으로 새로 고쳐집니다.
+ 액세스 토큰이 만료된 경우 SDK 또는 도구는 새로 고침 토큰을 사용하여 새 액세스 토큰을 가져옵니다. 그런 다음 이러한 토큰의 세션 기간을 비교하고 새로 고침 토큰이 만료되지 않은 경우 IAM Identity Center에서 새 액세스 토큰을 제공합니다.
+ 새로 고침 토큰이 만료된 경우 새 액세스 토큰이 제공되지 않으며 세션이 종료된 것입니다.
1. 세션은 새로 고침 토큰이 만료된 후 또는 `aws sso logout` 명령을 사용하여 수동으로 로그아웃하면 종료됩니다. 캐시된 자격 증명이 제거됩니다. IAM Identity Center를 사용하여 서비스에 계속 액세스하려면 `aws sso login` 명령을 사용하여 새 세션을 시작해야 합니다.
## 추가 리소스
추가 리소스는 다음과 같습니다.
+ [AWS CLI를 사용하여 IAM Identity Center 인증 구성](cli-configure-sso.md)
+ [튜토리얼: AWS CLI에서 IAM Identity Center를 사용하여 Amazon S3 명령 실행](cli-configure-sso-tutorial.md)
+ [최신 버전의 AWS CLI 설치 또는 업데이트](getting-started-install.md)
+ [AWS CLI의 구성 및 보안 인증 파일 설정](cli-configure-files.md)
+ **AWS CLI 버전 2 참조의 [https://docs.aws.amazon.com/cli/latest/reference/configure/sso.html](https://docs.aws.amazon.com/cli/latest/reference/configure/sso.html)
+ **AWS CLI 버전 2 참조의 [https://docs.aws.amazon.com/cli/latest/reference/configure/sso-session.html](https://docs.aws.amazon.com/cli/latest/reference/configure/sso-session.html)
+ **AWS CLI 버전 2 참조의 [https://docs.aws.amazon.com/cli/latest/reference/sso/login.html](https://docs.aws.amazon.com/cli/latest/reference/sso/login.html)
+ **AWS CLI 버전 2 참조의 [https://docs.aws.amazon.com/cli/latest/reference/sso/logout.html](https://docs.aws.amazon.com/cli/latest/reference/sso/logout.html)
+ *Amazon CodeCatalyst 사용 설명서*의 [Setting up to use the AWS CLI with CodeCatalyst](https://docs.aws.amazon.com/codecatalyst/latest/userguide/set-up-cli.html)
+ *AWS IAM Identity Center 사용 설명서*의 [IAM Identity Center 이름 바꾸기](https://docs.aws.amazon.com/singlesignon/latest/userguide/what-is.html#renamed)
+ *IAM Identity Center 사용 설명서*의 [OAuth 2.0 액세스 범위](https://docs.aws.amazon.com/singlesignon/latest/userguide/customermanagedapps-saml2-oauth2.html#oidc-concept)
+ *AWS IAM Identity Center 사용 설명서*의 [세션 기간 설정](https://docs.aws.amazon.com/singlesignon/latest/userguide/howtosessionduration.html)
+ *IAM Identity Center 사용 설명서*의 [시작하기 튜토리얼](https://docs.aws.amazon.com/singlesignon/latest/userguide/tutorials.html)
# 튜토리얼: AWS CLI에서 IAM Identity Center를 사용하여 Amazon S3 명령 실행
이 주제에서는 Amazon Simple Storage Service(Amazon S3)에 대한 AWS Command Line Interface(AWS CLI) 명령을 실행할 자격 증명을 검색하기 위해 현재 AWS IAM Identity Center(IAM Identity Center)로 사용자를 인증하도록 AWS CLI를 구성하는 방법에 대해 설명합니다.
**Topics**
+ [1단계: IAM Identity Center에서 인증](#cli-configure-sso-tutorial-authentication)
+ [2단계: IAM Identity Center 정보 수집](#cli-configure-sso-tutorial-gather)
+ [3단계: Amazon S3 버킷 생성](#cli-configure-sso-tutorial-buckets)
+ [4단계: AWS CLI 설치](#cli-configure-sso-tutorial-install)
+ [5단계: AWS CLI 프로파일 구성](#cli-configure-sso-tutorial-configure)
+ [6단계: IAM Identity Center에 로그인](#cli-configure-sso-tutorial-login.title)
+ [7단계: Amazon S3 명령 실행](#cli-configure-sso-tutorial-commands)
+ [8단계: IAM Identity Center에서 로그아웃](#cli-configure-sso-tutorial-logout)
+ [9단계: 리소스 정리](#cli-configure-sso-tutorial-cleanup)
+ [문제 해결](#cli-configure-sso-tutorial-tshoot)
+ [추가 리소스](#cli-configure-sso-tutorial-resources.title)
## 1단계: IAM Identity Center에서 인증
IAM Identity Center 내에서 SSO 인증에 대한 액세스 권한을 얻습니다. 사용자 AWS 보안 인증에 액세스 할 방법 하나를 다음 중에서 선택합니다.
### IAM ID 센터를 통한 액세스 권한을 설정하지 않았습니다.
*AWS IAM Identity Center 사용 설명서*의 [시작하기](https://docs.aws.amazon.com/singlesignon/latest/userguide/getting-started.html)에 나온 지침을 따릅니다. 이 프로세스는 IAM Identity Center를 활성화하고, 관리자 사용자를 생성하고, 적절한 최소 권한 세트를 추가합니다.
**참고**
최소 권한을 적용하는 권한 세트를 생성합니다. 고용주가 이러한 목적으로 사용자 지정 권한 집합을 만든 경우가 아니라면 사전 정의된 `PowerUserAccess` 권한 집합을 사용하는 것이 좋습니다.
포털을 종료하고 다시 로그인하면 AWS 계정, 프로그래밍 방식 액세스 세부 정보, `Administrator` 또는 `PowerUserAccess` 옵션을 확인할 수 있습니다. SDK로 작업할 때 `PowerUserAccess`을 선택합니다.
### 이미 고용주가 관리하는 페더레이션 ID 공급자(예: Azure AD 또는 Okta)를 통해 AWS에 액세스할 수 있습니다.
ID 공급업체의 포털을 통해 AWS에 로그인합니다. 클라우드 관리자가 사용자 `PowerUserAccess`(개발자)에게 권한을 부여한 경우 액세스 권한이 있는 AWS 계정와 권한 집합이 표시됩니다. 권한 집합 이름 옆에는 해당 권한 집합을 사용하여 수동으로 또는 프로그래밍 방식으로 계정에 액세스할 수 있는 옵션이 표시됩니다.
사용자 지정 구현으로 인해 사용 권한 집합 이름이 달라지는 등 다양한 경험이 발생할 수 있습니다. 어떤 권한 세트를 사용할지 확실하지 않은 경우 IT 팀에 문의하세요.
### 이미 고용주가 관리하는 AWS 액세스 포털을 통해 AWS에 접속할 수 있습니다.
AWS 액세스 포털을 통해 AWS에 로그인합니다. 클라우드 관리자가 사용자 `PowerUserAccess`(개발자)에게 권한을 부여한 경우 액세스 권한이 있는 AWS 계정과 권한 집합이 표시됩니다. 권한 집합 이름 옆에는 해당 권한 집합을 사용하여 수동으로 또는 프로그래밍 방식으로 계정에 액세스할 수 있는 옵션이 표시됩니다.
### 이미 고용주가 관리하는 페더레이션된 사용자 지정 ID 공급업체를 통해 AWS에 액세스할 수 있습니다.
IT 팀에 문의하세요.
## 2단계: IAM Identity Center 정보 수집
AWS에 대한 액세스 권한을 얻은 후에는다음을 수행하여 IAM Identity Center 정보를 수집합니다.
1. `aws configure sso`를 실행하는 데 필요한 `SSO Start URL` 및 `SSO Region` 값 수집
1. AWS 액세스 포털에서 개발에 사용할 권한 세트를 선택하고 ****액세스 키 링크를 선택합니다.
1. **자격 증명 가져오기** 대화 상자에서 운영 체제와 일치하는 탭을 선택합니다.
1. **IAM Identity Center 자격 증명** 방법을 선택하여 `SSO Start URL` 및 `SSO Region` 값을 가져옵니다.
1. 또는 버전 2.22.0부터 시작 URL 대신 새 발급자 URL을 사용할 수 있습니다. 발급자 URL은 AWS IAM Identity Center 콘솔의 다음 위치 중 하나에 있습니다.
+ **대시보드** 페이지의 발급자 URL은 설정 요약에 있습니다.
+ **설정** 페이지의 발급자 URL은 **자격 증명 소스** 설정에 있습니다.
1. 등록할 범위 값에 대한 자세한 내용은 *IAM Identity Center 사용 설명서*의 [OAuth 2.0 액세스 범위](https://docs.aws.amazon.com/singlesignon/latest/userguide/customermanagedapps-saml2-oauth2.html#oidc-concept)를 참조하세요.
## 3단계: Amazon S3 버킷 생성
AWS Management Console에 로그인한 후 [https://console.aws.amazon.com/s3/](https://console.aws.amazon.com/s3/)에서 S3 콘솔을 엽니다.
이 튜토리얼에서는 나중에 목록에서 검색할 버킷을 몇 개 만들어 봅니다.
## 4단계: AWS CLI 설치
운영 체제별 지침에 따라 CLI를 설치합니다. 자세한 내용은 [최신 버전의 AWS CLI 설치 또는 업데이트](getting-started-install.md) 섹션을 참조하세요.
설치가 완료되면 원하는 터미널을 열고 다음 명령을 실행하여 설치를 확인할 수 있습니다. 설치된 AWS CLI 버전이 표시되어야 합니다.
```
$ aws --version
```
## 5단계: AWS CLI 프로파일 구성
다음 방법 중 하나를 사용하여 프로파일 구성
### `aws configure sso` 마법사를 사용하여 프로파일 구성
`config` 파일의 `sso-session` 섹션은 SSO 액세스 토큰을 획득하기 위한 구성 변수를 그룹화하는 데 사용되며, 이를 사용하여 AWS 보안 인증 정보를 얻을 수 있습니다. 다음 설정이 사용됩니다.
+ **(필수)** `sso\$1start\$1url`
+ **(필수)** `sso\$1region`
+ `sso\$1account\$1id`
+ `sso\$1role\$1name`
+ `sso\$1registration\$1scopes`
`sso-session` 섹션을 정의하고 프로파일에 연결합니다. `sso_region` 및 `sso_start_url` 설정은 `sso-session` 섹션 내에 설정해야 합니다. 일반적으로 SDK가 SSO 보안 인증 정보를 요청할 수 있도록 `profile` 섹션에서 `sso_account_id` 및 `sso_role_name`을 설정해야 합니다.
다음 예제는 SSO 보안 인증 정보를 요청하도록 SDK를 구성하고 자동 토큰 새로 고침을 지원합니다.
```
$ aws configure sso
SSO session name (Recommended): my-sso
SSO start URL [None]: https://my-sso-portal.awsapps.com/start
SSO region [None]: us-east-1
SSO registration scopes [None]: sso:account:access
```
듀얼 스택 지원을 위해 듀얼 스택 SSO 시작 URL 형식을 사용할 수 있습니다.
```
$ aws configure sso
SSO session name (Recommended): my-sso
SSO start URL [None]: https://ssoins-1234567890abcdef.portal.us-east-1.app.aws
SSO region [None]: us-east-1
SSO registration scopes [None]: sso:account:access
```
PKCE(Proof Key for Code Exchange) 권한 부여는 버전 2.22.0부터 AWS CLI에 기본적으로 사용되며 브라우저가 있는 디바이스에서 사용해야 합니다. 디바이스 권한 부여를 계속 사용하려면 `--use-device-code` 옵션을 추가합니다.
```
$ aws configure sso --use-device-code
```
### `config` 파일을 사용한 수동 구성
`config` 파일의 `sso-session` 섹션은 SSO 액세스 토큰을 획득하기 위한 구성 변수를 그룹화하는 데 사용되며, 이를 사용하여 AWS 보안 인증 정보를 얻을 수 있습니다. 다음 설정이 사용됩니다.
+ **(필수)** `sso\$1start\$1url`
+ **(필수)** `sso\$1region`
+ `sso\$1account\$1id`
+ `sso\$1role\$1name`
+ `sso\$1registration\$1scopes`
`sso-session` 섹션을 정의하고 프로파일에 연결합니다. `sso-session` 섹션 내에서 `sso_region` 및 `sso_start_url`을 설정해야 합니다. 일반적으로 SDK가 SSO 보안 인증 정보를 요청할 수 있도록 `profile` 섹션에서 `sso_account_id` 및 `sso_role_name`을 설정해야 합니다.
다음 예제는 SSO 보안 인증 정보를 요청하도록 SDK를 구성하고 자동 토큰 새로 고침을 지원합니다.
```
[profile my-dev-profile]
sso_session = my-sso
sso_account_id = 111122223333
sso_role_name = SampleRole
[sso-session my-sso]
sso_region = us-east-1
sso_start_url = https://my-sso-portal.awsapps.com/start
sso_registration_scopes = sso:account:access
```
듀얼 스택 지원을 위해서는 듀얼 스택 SSO 시작 URL 형식을 사용합니다.
```
[profile my-dev-profile]
sso_session = my-sso
sso_account_id = 111122223333
sso_role_name = SampleRole
[sso-session my-sso]
sso_region = us-east-1
sso_start_url = https://ssoins-1234567890abcdef.portal.us-east-1.app.aws
sso_registration_scopes = sso:account:access
```
인증 토큰은 세션 이름을 기반으로 하는 파일 이름을 사용하여 `~/.aws/sso/cache` 디렉터리 아래의 디스크에 캐시됩니다.
## 6단계: IAM Identity Center에 로그인
**참고**
로그인 과정에서 데이터 AWS CLI 액세스를 허용하라는 메시지가 표시될 수 있습니다. AWS CLI는 Python용 SDK를 기반으로 구축되므로 권한 메시지에는 `botocore` 이름의 변형이 포함될 수 있습니다.
IAM Identity Center 자격 증명을 검색하고 캐시하려면 AWS CLI에서 다음 명령을 실행하여 기본 브라우저를 열고 IAM Identity Center 로그인을 확인합니다.
```
$ aws sso login --profile my-dev-profile
```
버전 2.22.0부터 PKCE 권한 부여가 기본값입니다. 로그인에 디바이스 권한 부여를 사용하려면 `--use-device-code` 옵션을 추가합니다.
```
$ aws sso login --profile my-dev-profile --use-device-code
```
## 7단계: Amazon S3 명령 실행
이전에 생성한 버킷을 나열하려면 [https://docs.aws.amazon.com/cli/latest/reference/s3/ls.html](https://docs.aws.amazon.com/cli/latest/reference/s3/ls.html) 명령을 사용합니다. 다음 예제에서는 모든 Amazon S3 버킷을 나열합니다.
```
$ aws s3 ls
2018-12-11 17:08:50 my-bucket
2018-12-14 14:55:44 my-bucket2
```
## 8단계: IAM Identity Center에서 로그아웃
IAM Identity Center 프로파일 사용을 마쳤으면 다음 명령을 실행하여 캐시된 자격 증명을 삭제합니다.
```
$ aws sso logout
Successfully signed out of all SSO profiles.
```
## 9단계: 리소스 정리
이 튜토리얼을 완료한 후에는 Amazon S3 버킷을 포함하여 이 튜토리얼에서 만든 리소스 중 더 이상 필요하지 않은 리소스를 모두 정리합니다.
## 문제 해결
AWS CLI를 사용하는 데 문제가 발생할 경우 [AWS CLI에 대한 오류 문제 해결](cli-chap-troubleshooting.md)에 나온 일반적인 문제 해결 단계를 참조하세요.
## 추가 리소스
추가 리소스는 다음과 같습니다.
+ [AWS CLI의 AWS IAM Identity Center 개념](cli-configure-sso-concepts.md)
+ [AWS CLI를 사용하여 IAM Identity Center 인증 구성](cli-configure-sso.md)
+ [최신 버전의 AWS CLI 설치 또는 업데이트](getting-started-install.md)
+ [AWS CLI의 구성 및 보안 인증 파일 설정](cli-configure-files.md)
+ **AWS CLI 버전 2 참조의 [https://docs.aws.amazon.com/cli/latest/reference/configure/sso.html](https://docs.aws.amazon.com/cli/latest/reference/configure/sso.html)
+ **AWS CLI 버전 2 참조의 [https://docs.aws.amazon.com/cli/latest/reference/configure/sso-session.html](https://docs.aws.amazon.com/cli/latest/reference/configure/sso-session.html)
+ **AWS CLI 버전 2 참조의 [https://docs.aws.amazon.com/cli/latest/reference/sso/login.html](https://docs.aws.amazon.com/cli/latest/reference/sso/login.html)
+ **AWS CLI 버전 2 참조의 [https://docs.aws.amazon.com/cli/latest/reference/sso/logout.html](https://docs.aws.amazon.com/cli/latest/reference/sso/logout.html)
+ *Amazon CodeCatalyst 사용 설명서*의 [Setting up to use the AWS CLI with CodeCatalyst](https://docs.aws.amazon.com/codecatalyst/latest/userguide/set-up-cli.html)
+ *IAM Identity Center 사용 설명서*의 [OAuth 2.0 액세스 범위](https://docs.aws.amazon.com/singlesignon/latest/userguide/customermanagedapps-saml2-oauth2.html#oidc-concept)
+ *IAM Identity Center 사용 설명서*의 [시작하기 튜토리얼](https://docs.aws.amazon.com/singlesignon/latest/userguide/tutorials.html)