本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

Enable AWS 客户托管应用程序的账户访问权限

您可以通过配置可信令牌颁发者在 IAM Identity Center 中为客户托管的应用程序启用 AWS 账户访问权限。可信令牌发行者是 OAuth 2.0 授权服务器，它代表经过身份验证的用户颁发签名令牌。IAM Identity Center 将这些令牌交换为证书，允许您的应用程序以编程方式访问分配给这些用户的 AWS 账户和角色。可信令牌发行者也可用于访问 AWS 托管应用程序。有关更多信息，请参阅 通过可信令牌发布者使用应用程序。

工作原理

管理员启用客户托管应用程序的sso:account:access作用域后，将出现以下工作流程：

如果您在设置应用程序时启用了刷新令牌授权，则CreateTokenWithIAM还会在访问令牌旁边返回刷新令牌。您的应用程序可以使用此刷新令牌来获取新的访问令牌，而无需重复完整的 JWT Bearer 令牌交换。要刷新访问令牌，请CreateTokenWithIAM使用refresh_token授权类型调用。

先决条件

在为客户管理的应用程序启用账户访问权限之前，您需要：

启用账户访问权限

启用账户访问权限后，应用程序可以通过编程方式调用 Identity Portal API 操作来列出账户和角色，并检索经过身份验证的用户有权访问的角色的临时 AWS 证书。

以编程方式访问

您可以使用 PutApplicationAccessScope API 以编程方式为客户托管的应用程序启用sso:account:access范围。您必须使用组织的管理账户或委派管理员账户调用 API。

AWS CLI

aws sso-admin put-application-access-scope \
  --application-arn arn:aws:sso::123456789012:application/ssoins-1234567890abcdef/apl-1234567890abcdef \
  --scope "sso:account:access"

API 请求：

{
  "ApplicationArn": "arn:aws:sso::123456789012:application/ssoins-1234567890abcdef/apl-1234567890abcdef",
  "Scope": "sso:account:access"
}

要禁用账户访问权限，请使用具有相同应用程序 ARN 和范围值的 DeleteApplicationAccessScope API。

有关更多信息，请参阅 IAM 身份中心 API 参考DeleteApplicationAccessScope中的PutApplicationAccessScope和。

安全最佳实践

相关信息