使用 設定 IAM Identity Center 身分驗證 AWS CLI

1. 收集您需要執行 aws configure sso 的 SSO Start URL 和 SSO Region 值

   1. 在您的 AWS 存取入口網站中，選取您用於開發的許可集，然後選取存取金鑰連結。

   2. 在取得憑證對話方塊中，選擇符合您作業系統的索引標籤。

   3. 選擇 IAM Identity Center 憑證方法，以取得 SSO Start URL 和 SSO Region 值。

2. 或者，從 2.22.0 版起，您可以使用發行者 URL，而不是啟動 URL。發行者 URL 位於 AWS IAM Identity Center 主控台中下列其中一個位置：

   • 在儀表板頁面上，發行者 URL 位於設定摘要中。

   • 在設定頁面上，發行者 URL 位於身分來源設定中。

3. 如需要在哪些範圍註冊值的詳細資訊，請參閱《IAM Identity Center 使用者指南》中的 OAuth 2.0 存取範圍。

若要為您的 AWS CLI設定 IAM Identity Center 設定檔：

1. 在您偏好的終端機中執行 aws configure sso 命令。

   (Recommended) IAM Identity Center

   建立工作階段名稱、提供您的 IAM Identity Center 啟動 URL 或發行者 URL、託管 IAM Identity Center 目錄 AWS 區域 的 ，以及註冊範圍。

   $ aws configure sso
   SSO session name (Recommended): my-sso
   SSO start URL [None]: https://my-sso-portal.awsapps.com/start
   SSO region [None]: us-east-1
   SSO registration scopes [None]: sso:account:access

   對於雙堆疊支援，請使用雙堆疊 SSO 啟動 URL：

   $ aws configure sso
   SSO session name (Recommended): my-sso
   SSO start URL [None]: https://ssoins-1234567890abcdef.portal.us-east-1.app.aws
   SSO region [None]: us-east-1
   SSO registration scopes [None]: sso:account:access

   根據預設，從 2.22.0 版 AWS CLI 開始的 會使用 Code Exchange (PKCE) 授權的驗證金鑰，並且必須在具有瀏覽器的裝置上使用。 若要繼續使用裝置授權，請附加 --use-device-code 選項。

   $ aws configure sso --use-device-code

   Legacy IAM Identity Center

   略過工作階段名稱，並提供您的 IAM Identity Center 啟動 URL，以及託管 Identity Center 目錄的 AWS 區域。

   $ aws configure sso
   SSO session name (Recommended):
   SSO start URL [None]: https://my-sso-portal.awsapps.com/start
   SSO region [None]:us-east-1

   對於雙堆疊支援：

   $ aws configure sso
   SSO session name (Recommended):
   SSO start URL [None]: https://ssoins-1234567890abcdef.portal.us-east-1.app.aws
   SSO region [None]:us-east-1

2. 會 AWS CLI 嘗試開啟預設瀏覽器，以進行 IAM Identity Center 帳戶的登入程序。此程序可能會提示您允許 AWS CLI 存取您的資料。由於 AWS CLI 建置在適用於 Python 的 SDK 之上，因此許可訊息可能包含botocore名稱的變化。

   • 如果 AWS CLI 無法開啟瀏覽器，系統會根據您使用的授權類型，顯示手動啟動登入程序的指示。

     PKCE authorization

     根據預設，從 2.22.0 版 AWS CLI 開始的 會使用 Code Exchange (PKCE) 授權的驗證金鑰。顯示的 URL 是唯一的 URL，開頭為：

     • IPv4：https：//https://oidc.us-east-1.amazonaws.com/authorize

     • 雙堆疊：https：//https://oidc.us-east-1.api.aws/authorize

     PKCE 授權 URL 必須在您登入的同一個裝置上開啟，且必須用於具有瀏覽器的裝置。

     Attempting to automatically open the SSO authorization page in your 
     default browser.
     If the browser does not open or you wish to use a different device to 
     authorize the request, open the following URL:
     
     https://oidc.us-east-1.amazonaws.com/authorize?<abbreviated>

     Device authorization

     2.22.0 版之前的 AWS CLI 使用 OAuth 2.0 裝置授權。您可以使用 --use-device-code 選項在較新版本上啟用此方法。

     裝置授權 URL 不需要在您登入的同一個裝置上開啟，且可用於有或無瀏覽器的裝置。端點格式取決於您的組態：

     • IPv4：https：//https://device.sso.us-west-2.amazonaws.com/

     • 雙堆疊：https：//https://device.sso.us-west-2.api.aws/

     If the browser does not open or you wish to use a different device to 
     authorize this request, open the following URL:
     https://device.sso.us-west-2.amazonaws.com/
     
     Then enter the code:
     QCFK-N451

     顯示較多顯示較少

3. 從顯示的清單中選擇要使用 AWS 的帳戶。如果您有權僅使用一個帳戶，則 AWS CLI 會自動選取該帳戶並略過提示。

   There are 2 AWS accounts available to you.
   > DeveloperAccount, developer-account-admin@example.com (123456789011) 
     ProductionAccount, production-account-admin@example.com (123456789022)

4. 從顯示的清單中選擇要使用的 IAM 角色。如果只有一個角色可用，則 AWS CLI 會自動選取該角色並略過提示。

   Using the account ID 123456789011
   There are 2 roles available to you.
   > ReadOnly
     FullAccess

5. 指定預設輸出格式、要將命令傳往的預設 AWS 區域，以及設定檔名稱。如果您指定 default 做為設定檔名稱，則此設定檔會成為使用的預設設定檔。在下列範例中，使用者會輸入預設區域、預設輸出格式和設定檔的名稱。

   Default client Region [None]: us-west-2<ENTER>
   CLI default output format (json if not specified) [None]: json<ENTER>
   Profile name [123456789011_ReadOnly]: my-dev-profile<ENTER>

6. 最後一則訊息說明完成的設定檔組態。您現在可以使用此設定檔來請求憑證。使用 aws sso login 命令來請求和擷取執行命令所需的憑證。如需說明，請參閱登入 IAM Identity Center 工作階段。