AWS Identity and Access Management
用户指南
AWS 服务或AWS文档中描述的功能,可能因地区/位置而异。请点击 Amazon AWS 入门,可查看中国地区的具体差异

切换到角色 (AWS 管理控制台)

角色 指定可用于访问所需的 AWS 资源的一组权限。在这种意义上,它类似于 AWS Identity and Access Management (IAM) 中的用户。作为用户登录时,您会获取一组特定权限。但是,您没有登录到角色,不过一旦登录,您就可以切换为角色。这会临时搁置原始用户权限,而向您提供分配给角色的权限。角色可以在您自己的账户中或任何其他 AWS 账户中。有关角色、其权益以及如何创建角色的更多信息,请参阅IAM 角色创建 IAM 角色

重要

当您在 AWS 管理控制台 中切换角色时,控制台总是使用您的原始证书对切换操作进行授权。无论您作为 IAM 用户、SAML 联合角色还是 Web 联合身份角色登录,上述情形均适用。例如,如果您切换到 RoleA,它会使用您的原始用户或联合角色凭证确定是否允许您担任 RoleA。如果您在使用 RoleA 时尝试切换到 RoleB,仍会使用您的原始用户或联合角色凭证对您切换到 RoleB 的尝试进行授权,而不会使用 RoleA 的证书。

本部分介绍了如何使用 IAM 控制台切换到角色:

  • 您只能在以 IAM 用户身份登录时切换角色。如果您以 AWS 账户根用户 身份登录,则无法切换角色。

  • 如果您的管理员向您提供了链接,请单击该链接,然后跳到以下过程中的步骤 步骤 5。通过该链接可以转到相应的网页,并为您填写账户 ID (或别名) 和角色名称。

    提示

    您可使用以下格式自行手动构建链接:

    https://signin.aws.amazon.com/switchrole?account=account_id_number&roleName=role_name&displayName=text_to_display

    其中,您的管理员将向您提供 account_id_numberrole_name。对于 text_to_display,请参阅以下过程中步骤 5 的说明。

    重要

    如果您以编程方式而不是在 IAM 控制台中创建角色,则除最长可达 64 个字符的 RoleName 外,您还可以选择添加最长 512 个字符的 Path。但是,要通过 AWS 控制台中的切换角色功能使用角色,则组合的 PathRoleName 不能超过 64 个字符。

  • 您可以通过以下过程使用管理员提供的信息来手动切换角色。

要排除您在代入角色时可能遇到的常见问题,请参阅 我无法代入角色.

切换为角色

  1. 以 IAM 用户身份登录 AWS 管理控制台并通过以下网址打开 IAM 控制台:https://console.amazonaws.cn/iam/

  2. 在 IAM 控制台中,在右上角的导航栏上选择您的用户名。它通常类似于:username@account_ID_number_or_alias

  3. 对于 Identity,选择 Switch Role。如果这是您首次选择此选项,则会出现一个包含更多信息的页面。阅读该页面之后,单击 Switch Role。如果清除您的浏览器 Cookie,则此页面会重新再出现。

  4. Switch Role 页面上,键入账户 ID 号或账户别名以及管理员提供的角色的名称。

    注意

    如果您的管理员创建了包含路径的角色(如 division_abc/subdivision_efg/roleToDoXYZ),则必须在 Role 框中键入完整路径和名称。如果您仅键入角色名称,则切换角色的尝试会失败。

    重要

    如果您以编程方式而不是在 IAM 控制台中创建角色,则除最长可达 64 个字符的 RoleName 外,您还可以选择添加最长 512 个字符的 Path。但是,要通过 IAM 控制台中的切换角色功能使用角色,则组合的 PathRoleName 不能超过 64 个字符。这是存储角色名称的浏览器 Cookie 的限制。

  5. (可选) 键入您希望此角色处于活动时显示在导航栏上以替代用户名的文本。系统会基于账户和角色信息提供建议名称,但是您可以将它更改为对您有意义的任何名称。您还可以选择用于突出显示名称的样色。名称和颜色可帮助提醒您此角色处于活动状态的时间,这将更改您的权限。例如,对于向您提供对测试环境的访问权限的角色,您可以将 Display Name 指定为 Test,并选择绿色的 Display Color。对于向您授予对生产环境的访问权限的角色,您可以将 Display Name 指定为 Production,并选择红色作为 Display Color

  6. 单击 Switch Role (切换角色)。显示名称和颜色会在导航栏上替换您的用户名,您可以开始使用角色向您授予的权限。

提示

您使用的最后几个角色将显示在 Identity 菜单上。您下次需要切换为这些角色中的某个角色时,只需单击所需的角色。如果角色未显示在“Identity”菜单上,则只需手动输入账户和角色信息。

停止使用角色

  1. 在 IAM 控制台中,在导航栏右侧选择角色的 Display Name (显示名称)

  2. 选择 Back to UserName (返回 <用户名>)。角色和其权限会停用,与您的 IAM 用户和组关联的权限会自动恢复。