IAM Identity Center 凭证提供者

此身份验证机制使用 AWS IAM Identity Center 获取您的代码的单点登录（SSO）访问 AWS 服务 权限。

启用 IAM Identity Center 后，您可在共享 AWS config 文件中为其设置定义配置文件。此配置文件用于连接到 IAM Identity Center 访问门户。当用户成功通过 IAM Identity Center 进行身份验证后，门户将返回与该用户关联的 IAM 角色的短期凭证。要了解 SDK 如何从配置中获取临时凭证并将其用于 AWS 服务 请求，请参阅 如何解决 AWS SDK 和工具的 IAM Identity Center 身份验证问题。

通过 config 文件配置 IAM Identity Center 有两种方式：

在这两种配置中，您都需要在会话到期后重新登录。

以下两份指南包含有关 IAM Identity Center 的其他信息：

要深入了解 SDK 和工具如何采用此配置以使用和刷新凭证，请参阅 如何解决 AWS SDK 和工具的 IAM Identity Center 身份验证问题。

先决条件

您必须先启用 IAM Identity Center。有关启用 IAM Identity Center 身份验证的详细信息，请参阅《AWS IAM Identity Center 用户指南》 中的 Enabling AWS IAM Identity Center。

SSO 令牌提供商配置

使用 SSO 令牌提供者配置时，您的 AWS SDK 或工具会自动刷新会话，直到延长的会话时长。有关会话时长和最大时长的更多信息，请参阅《AWS IAM Identity Center 用户指南》中的 Configure the session duration of the AWS access portal and IAM Identity Center integrated applications。

config 文件的 sso-session 部分用于对获取 SSO 访问令牌的配置变量进行分组，然后可以用来获取 AWS 凭证。有关 config 文件中此节的更多详细信息，请参阅 配置文件的格式。

以下共享 config 文件示例使用 dev 配置文件将 SDK 或工具配置为请求 IAM Identity Center 凭证。

[profile dev]
sso_session = my-sso
sso_account_id = 111122223333
sso_role_name = SampleRole

[sso-session my-sso]
sso_region = us-east-1
sso_start_url = https://my-sso-portal.awsapps.com/start
sso_registration_scopes = sso:account:access

上面的示例展示您可以定义 sso-session 节并将其关联到某个配置文件。通常，sso_account_id 和 sso_role_name 必须在 profile 节中进行设置，以便 SDK 可以请求 AWS 凭证。sso_region、sso_start_url 和 sso_registration_scopes 必须在 sso-session 节中设置。

并不是所有 SSO 令牌配置场景都需要 sso_account_id 和 sso_role_name。如果您的应用程序仅使用支持持有者身份验证的 AWS 服务 服务，则不需要传统 AWS 凭证。持有者身份验证是一种 HTTP 身份验证方案，它使用称为持有者令牌的安全令牌。在这种情况下，不需要 sso_account_id 和 sso_role_name。请参阅具体的 AWS 服务指南，以确定该服务是否支持不记名令牌授权。

注册范围配置为 sso-session 的一部分。范围是 OAuth 2.0 中的一种机制，用于限制应用程序对用户账户的申请访问。上例设置了 sso_registration_scopes，来提供列出账户和角色的必要访问权限。

下例展示了如何在多个配置文件中重复使用相同的 sso-session 配置。

[profile dev]
sso_session = my-sso
sso_account_id = 111122223333
sso_role_name = SampleRole

[profile prod]
sso_session = my-sso
sso_account_id = 111122223333
sso_role_name = SampleRole2

[sso-session my-sso]
sso_region = us-east-1
sso_start_url = https://my-sso-portal.awsapps.com/start
sso_registration_scopes = sso:account:access

身份验证令牌缓存到 ~/.aws/sso/cache 目录下的磁盘上，文件名基于会话名称。

遗留的不可刷新配置

使用遗留的不可刷新配置不支持自动令牌刷新。我们建议改用 SSO 令牌提供商配置。

要使用传统的不可刷新配置，您必须在配置文件中指定以下设置：

可以使用 sso_start_url 和 sso_region 设置为配置文件指定用户门户。可以使用 sso_account_id 和 sso_role_name 设置来指定权限。

以下示例设置了 config 文件中的四个必需值。

[profile my-sso-profile]
sso_start_url = https://my-sso-portal.awsapps.com/start
sso_region = us-west-2
sso_account_id = 111122223333
sso_role_name = SSOReadOnlyRole

身份验证令牌缓存到 ~/.aws/sso/cache 目录下的磁盘上，文件名基于 sso_start_url。

IAM Identity Center 凭证提供者设置

AWS SDK 和工具支持

以下 SDK 支持本主题中所述的功能和设置。所有部分例外情况均已注明。任何 JVM 系统属性设置都仅支持 适用于 Java 的 AWS SDK 和 适用于 Kotlin 的 AWS SDK。