기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

고객 관리형 애플리케이션에 대한 AWS 계정 액세스 활성화

신뢰할 수 있는 토큰 발급자를 구성하여 IAM Identity Center에서 고객 관리형 애플리케이션에 대한 AWS 계정 액세스를 활성화할 수 있습니다. 신뢰할 수 있는 토큰 발급자는 인증된 사용자를 대신하여 서명된 토큰을 발급하는 OAuth 2.0 권한 부여 서버입니다. IAM Identity Center는 이러한 토큰을 자격 증명과 교환하여 애플리케이션이 해당 사용자에게 할당된 AWS 계정 및 역할에 프로그래밍 방식으로 액세스할 수 있도록 합니다. 신뢰할 수 있는 토큰 발급자를 AWS 관리형 애플리케이션에 액세스하는 데 사용할 수도 있습니다. 자세한 내용은 신뢰할 수 있는 토큰 발급자를 사용하여 애플리케이션 사용 단원을 참조하십시오.

작동 방식

관리자가 고객 관리형 애플리케이션의 sso:account:access 범위를 활성화하면 다음 워크플로가 발생합니다.

애플리케이션을 설정할 때 새로 고침 토큰 부여를 활성화한 경우는 액세스 토큰과 함께 새로 고침 토큰CreateTokenWithIAM도 반환합니다. 애플리케이션은 전체 JWT Bearer 토큰 교환을 반복하지 않고도이 새로 고침 토큰을 사용하여 새 액세스 토큰을 얻을 수 있습니다. 액세스 토큰을 새로 고치려면 refresh_token 권한 부여 유형CreateTokenWithIAM으로를 호출합니다.

사전 조건

고객 관리형 애플리케이션에 대한 계정 액세스를 활성화하기 전에 다음이 필요합니다.

계정 액세스 활성화

계정 액세스를 활성화한 후 애플리케이션은 ID 포털 API 작업을 프로그래밍 방식으로 호출하여 계정 및 역할을 나열하고 인증된 사용자에게 액세스 권한이 부여된 역할에 대한 임시 AWS 자격 증명을 검색할 수 있습니다.

프로그래밍 방식 액세스

PutApplicationAccessScope API를 사용하여 고객 관리형 애플리케이션의 sso:account:access 범위를 프로그래밍 방식으로 활성화할 수 있습니다. 조직의 관리 계정 또는 위임된 관리자 계정에서 API를 호출해야 합니다.

AWS CLI

aws sso-admin put-application-access-scope \
  --application-arn arn:aws:sso::123456789012:application/ssoins-1234567890abcdef/apl-1234567890abcdef \
  --scope "sso:account:access"

API 요청:

{
  "ApplicationArn": "arn:aws:sso::123456789012:application/ssoins-1234567890abcdef/apl-1234567890abcdef",
  "Scope": "sso:account:access"
}

계정 액세스를 비활성화하려면 애플리케이션 ARN 및 범위 값이 동일한 DeleteApplicationAccessScope API를 사용합니다.

자세한 내용은 IAM Identity Center API 참조의 PutApplicationAccessScope 및 DeleteApplicationAccessScope를 참조하세요.

보안 모범 사례

관련 정보