本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

為客戶受管應用程式啟用 AWS 帳戶存取

您可以透過設定信任的權杖發行者，在 IAM Identity Center 中啟用客戶受管應用程式 AWS 的帳戶存取。信任的權杖發行者是 OAuth 2.0 授權伺服器，代表已驗證的使用者發出簽署的權杖。IAM Identity Center 會交換這些字符做為登入資料，讓您的應用程式以程式設計方式存取指派給這些使用者 AWS 的帳戶和角色。信任的權杖發行者也可以用於存取 AWS 受管應用程式。如需詳細資訊，請參閱使用具有受信任權杖發行者的應用程式。

運作方式

管理員啟用客戶受管應用程式sso:account:access的範圍後，會發生下列工作流程：

如果您在設定應用程式時啟用重新整理權杖授予， CreateTokenWithIAM也會傳回重新整理權杖與存取權杖。您的應用程式可以使用此重新整理字符來取得新的存取字符，而無需重複完整的 JWT Bearer 字符交換。若要重新整理存取字符，CreateTokenWithIAM請使用 refresh_token 授予類型呼叫 。

先決條件

啟用客戶受管應用程式的帳戶存取之前，您需要：

啟用帳戶存取

啟用帳戶存取後，應用程式可以透過程式設計方式呼叫 Identity Portal API 操作來列出帳戶和角色，並擷取已驗證使用者有權存取之角色的臨時 AWS 登入資料。

程式設計存取權

您可以使用 PutApplicationAccessScope API，以程式設計方式啟用客戶受管應用程式sso:account:access的範圍。您必須從組織的管理帳戶或委派管理員帳戶呼叫 API。

AWS CLI

aws sso-admin put-application-access-scope \
  --application-arn arn:aws:sso::123456789012:application/ssoins-1234567890abcdef/apl-1234567890abcdef \
  --scope "sso:account:access"

API 請求：

{
  "ApplicationArn": "arn:aws:sso::123456789012:application/ssoins-1234567890abcdef/apl-1234567890abcdef",
  "Scope": "sso:account:access"
}

若要停用帳戶存取，請使用具有相同應用程式 ARN 和範圍值的 DeleteApplicationAccessScope API。

如需詳細資訊，請參閱《IAM Identity Center API 參考》中的 PutApplicationAccessScope 和 DeleteApplicationAccessScope。

安全最佳實務

相關資訊