Provedor de credencial do IAM Identity Center

Este mecanismo de autenticação usa o AWS IAM Identity Center para acesso com autenticação única (SSO) para os Serviços da AWS para seu código.

Depois de habilitar o IAM Identity Center, você define um perfil para suas configurações no seu arquivo compartilhado config da AWS. Este perfil é usado para se conectar ao portal de acesso do IAM Identity Center. Quando um usuário se autentica com sucesso no IAM Identity Center, o portal retorna credenciais de curto prazo para o perfil do IAM associado a esse usuário. Para saber como o SDK obtém credenciais temporárias da configuração e as usa para solicitações do AWS service (Serviço da AWS), consulte Como a autenticação do IAM Identity Center é resolvida para SDKs e ferramentas da AWS.

Há duas maneiras de configurar o IAM Identity Center por meio do arquivo config:

Em ambas as configurações, você precisa entrar novamente quando sua sessão expirar.

Os dois guias a seguir contêm informações adicionais sobre o IAM Identity Center:

Para saber mais detalhes sobre como os SDKs e as ferramentas usam e atualizam as credenciais usando esta configuração, consulte Como a autenticação do IAM Identity Center é resolvida para SDKs e ferramentas da AWS.

Pré-requisitos

É necessário primeiro habilitar o IAM Identity Center. Para obter detalhes sobre como habilitar a autenticação do IAM Identity Center, consulte Enabling AWS IAM Identity Center no AWS IAM Identity Center User Guide.

Configuração do provedor de token do SSO

Quando você usa a configuração do provedor de token SSO, o SDK ou a ferramenta da AWS atualizam automaticamente a sessão até o período de sessão estendido. Para obter mais informações sobre a duração da sessão e a duração máxima, consulte Configure the session duration of the AWS access portal and IAM Identity Center integrated applications no AWS IAM Identity Center User Guide.

A seção do sso-session do arquivo config é usada para agrupar variáveis de configuração para adquirir tokens de acesso do SSO, que podem então ser usados para adquirir credenciais da AWS. Para obter mais detalhes sobre essa seção em um arquivo config, consulte Formato do arquivo de configuração.

O exemplo de arquivo compartilhado config a seguir configura o SDK ou a ferramenta usando um perfil dev para solicitar credenciais do IAM Identity Center.

[profile dev]
sso_session = my-sso
sso_account_id = 111122223333
sso_role_name = SampleRole

[sso-session my-sso]
sso_region = us-east-1
sso_start_url = https://my-sso-portal.awsapps.com/start
sso_registration_scopes = sso:account:access

Os exemplos anteriores mostram que você define uma sessão do sso-session e a associa a um perfil. Normalmente, sso_account_id e sso_role_name devem ser definidos na seção profile para que o SDK possa solicitar credenciais da AWS. sso_region, sso_start_url e sso_registration_scopes devem ser definidos na seção sso-session.

No entanto, sso_account_id e sso_role_name não são necessários para todos os cenários de configuração do token do SSO. Se sua aplicação usa apenas os Serviços da AWS compatíveis com a autenticação do portador, as credenciais tradicionais da AWS não são necessárias. A autenticação do portador é um esquema de autenticação HTTP que usa tokens de segurança chamados tokens de portador. Nesse cenário, sso_account_id e sso_role_name não são obrigatórios. Consulte o guia do AWS service (Serviço da AWS) individual para determinar se o serviço é compatível com a autorização com token de portador.

Os escopos de registro são configurados como parte de um sso-session. O escopo é um mecanismo no OAuth 2.0 para limitar o acesso de um aplicativo à conta de um usuário. O exemplo anterior define sso_registration_scopes para fornecer o acesso necessário para listar contas e perfis.

O exemplo a seguir mostra como é possível reutilizar a mesma configuração sso-session em vários perfis.

[profile dev]
sso_session = my-sso
sso_account_id = 111122223333
sso_role_name = SampleRole

[profile prod]
sso_session = my-sso
sso_account_id = 111122223333
sso_role_name = SampleRole2

[sso-session my-sso]
sso_region = us-east-1
sso_start_url = https://my-sso-portal.awsapps.com/start
sso_registration_scopes = sso:account:access

O token de autenticação é armazenado em cache no disco sob o diretório ~/.aws/sso/cache com um nome de arquivo baseado no nome da sessão.

Configuração herdada não atualizável

A atualização automática de tokens não é compatível usando a configuração herdada não atualizável. Em vez disso, recomendamos usar Configuração do provedor de token do SSO.

Para usar a configuração legada não atualizável, você deve especificar as seguintes configurações no seu perfil:

Você especifica o portal do usuário para um perfil com as configurações sso_start_url e sso_region. Você especifica as permissões com as configurações sso_account_id e sso_role_name.

O exemplo a seguir define os quatro valores necessários no arquivo config.

[profile my-sso-profile]
sso_start_url = https://my-sso-portal.awsapps.com/start
sso_region = us-west-2
sso_account_id = 111122223333
sso_role_name = SSOReadOnlyRole

O token de autenticação é armazenado em cache no disco sob o diretório ~/.aws/sso/cache com um nome de arquivo baseado no sso_start_url.

Configurações do provedor de credenciais do IAM Identity Center

Compatibilidade com SDKs e ferramentas da AWS

Os SDKs a seguir são compatíveis com os recursos e configurações descritos neste tópico. Quaisquer exceções parciais estão anotadas. As configurações de propriedade do sistema de JVM são compatíveis apenas como o AWS SDK para Java e o AWS SDK para Kotlin.