View a markdown version of this page

IAM Identity Center in Amazon Web Services China - 入门 Amazon Web Services China
区域可用性操作方法 IAM Identity Center 不同文档
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

IAM Identity Center in Amazon Web Services China

IAM Identity Center 是 Amazon Web Services 解决方案，用于将您的员工用户连接到他们所有的亚马逊云科技托管应用程序和亚马逊云科技账户。有权访问一个或多个账户的用户可以使用亚马逊云科技管理控制台登录亚马逊云科技访问门户并访问亚马逊云科技应用程序，或者检索临时凭证以编程方式访问亚马逊云科技应用程序。您可以连接现有的身份提供商，也可以直接在中创建和管理您的用户 IAM Identity Center。对于现有的身份提供商，支持将来自您的身份提供商的用户和群组信息自动配置（同步）到 IAM Identity Center 。

区域可用性

IAM Identity Center 已在中国的以下地区上市：

  • China (Beijing) 区域

  • China (Ningxia) 区域

操作方法 IAM Identity Center 不同

以下差异适用于 IAM Identity Center：

  • IAM Identity Center 与亚马逊集成 组织 ，可管理您的亚马逊网络服务账户的访问权限， IAM Identity Center 因此受亚马逊任何 组织 差异的影响。

  • Amazon Web Services 访问门户 URL 的网址模式为IdentityStoreId或CustomAlias。

    您可以在 IAM Identity Center 控制台的 “设置” 页面上找到此 URL。

  • 您的 IAM Identity Center 实例的 Amazon 资源名称 (ARN) 的模式为：arn:aws-cn:sso:::instance/[InstanceId]您可以在控制台的 “设置” 页面上找到此 ARN。 IAM Identity Center

  • IAM Identity Center 权限集的 ARN 的模式是：arn:aws-cn:sso:::permissionSet/[InstanceID]/[PermissionSetID]您可以在控制台中 Amazon Web Services 账户页面下的权限集选项卡上找到这些 ARN。 IAM Identity Center

  • 该电子邮件地址no-reply@login.awsapps.cn用于在和地区发送电子邮件验证、密码重置和用户邀请电子邮件。 China (Beijing) China (Ningxia) 该电子邮件地址no-reply@signin.amazonaws.com.cn用于发送忘记密码的电子邮件。

  • Google Workspace（前身为 G Suite）在中国不可用。

  • 亚马逊安全能力合作伙伴 CyberArk Ermetic 和 Okta 提供的解决方案不在中国托管。它们用于临时提升访问管理的功能和集成尚未 IAM Identity Center 在中国进行过测试。 IAM Identity Center

  • IAM Identity Center 用户无法单点登录到 Amazon EC2 Windows 实例。

  • IAM Identity Center 与 Amazon Web Services 应用程序集成，为这些应用程序提供单点登录和集中身份和访问管理。亚马逊网络服务产品页面列出了在中国可用的亚马逊网络服务应用程序。有关与之集成的详细信息，请参阅 Amazon Web Services 应用程序的 China-specific 用户指南 IAM Identity Center。

  • 用户后台会话功能出现在中国的控制台中，但由于只有 Studio 支持 Amazon SageMaker 用户后台会话，因此无法使用此功能。尽管 Amazon SageMaker AI 中国支持 Studio Amazon SageMaker ，但其用于运行机器学习 (ML) 工作流程的最新网络体验，在中国尚不可用。

  • IAM Identity Center 文档中提及的应用程序和身份提供者是第三方。他们的实例可能位于中国境外。客户应直接向第三方提供商核实实例的位置，并且客户应确认任何跨境数据传输是否符合适用法律规定的义务。如果客户使用这些第三方提供的服务，则由于亚马逊无法控制的原因（例如，如果第三方的服务器位于中国境外），客户可能会遇到更高的延迟，因此客户应直接与第三方提供商合作以解决延迟问题。

  • 云应用程序，即外部亚马逊 Web Services 账户，目前在云应用程序目录中不可用。如果您需要为不属于同一个亚马逊组织的 Amazon Web Services 账户配置联合账户，则可以使用自定义 SAML 应用程序。有关如何在账户中设置联盟的说明，请参阅《IAM 用户指南》。

  • 默认情况下，由光环新网运营的亚马逊网络服务 China (Ningxia) 区域和由西云数据运营的亚马逊网络服务区域处于启用状态。 China (Beijing) 因此，它们不需要手动启用。

  • 以下的 Amazon Web Services 托管应用程序支持以下账户实例 IAM Identity Center：

    • Amazon S3 访问授权

  • 如果您使用下一代防火墙 (NGFW) 或安全 Web 网关 (SWG) 等网络内容过滤解决方案筛选对特定 Amazon Web Services 域的访问权限，则必须将以下域名添加到您的网络内容过滤解决方案许可名单中。这样您就可以访问您的亚马逊 Web Services 访问门户。

    以下列表提供了 IPv4 和双栈域以及 URL 端点，可添加到您的网页内容过滤解决方案许可名单中。

    IPv4 允许列表

    • start.home.awsapps.cn

    • start.[Region].home.awsapps.cn

    • [IAM-Identity-Center-instance-id].[Region].portal.amazonaws.com.cn

    • oidc.[Region].amazonaws.com.cn

    • *.applicationcatalog.amazonaws.com.cn

    • *.sso.[Region].amazonaws.com.cn

    • *.sso.amazonaws.cn

    • *.sso-portal.[Region].amazonaws.com.cn

    • *.sso.[Region].amazonaws.cn

    • aws-access-portal-website-prod-bjs-assets.s3.cn-north-1.amazonaws.com.cn

    • aws-access-portal-website-prod-zhy-assets.s3.cn-northwest-1.amazonaws.com.cn

    • s3.cn-north-1.amazonaws.com.cn/awsconsole-peregrine-portal-prod-bjs-assets

    • s3.cn-northwest-1.amazonaws.com.cn/awsconsole-peregrine-portal-prod-zhy-assets

    • [Region].signin.amazonaws.cn

    • *.cloudfront.net

    • opfcaptcha-prod.s3.amazonaws.com

      Dual-stack 允许名单

    • [IAM-Identity-Center-instance-id].portal.[Region].app.amazonwebservices.com.cn

    • oidc.[Region].api.amazonwebservices.com.cn

    • *.applicationcatalog.amazonaws.com.cn

    • sso.[Region].api.amazonwebservices.com.cn

    • portal.sso.[Region].api.amazonwebservices.com.cn

    • scim.[Region].api.amazonwebservices.com.cn

    • identitystore.[Region].api.amazonwebservices.com.cn

    • identity-sync.[Region].api.amazonwebservices.com.cn

    • dual-stack.auth-control.[Region].prod.apps-auth.aws.a2z.org.cn

    • pvs-cp.[Region].api.amazonwebservices.com.cn

    • aws-access-portal-website-prod-bjs-assets.s3.cn-north-1.amazonaws.com.cn

    • aws-access-portal-website-prod-zhy-assets.s3.cn-northwest-1.amazonaws.com.cn

    • s3.cn-north-1.amazonaws.com.cn/awsconsole-peregrine-portal-prod-bjs-assets

    • s3.cn-northwest-1.amazonaws.com.cn/awsconsole-peregrine-portal-prod-zhy-assets

    • [Region].sso.signin.amazonaws.cn

    • *.cloudfront.net

    • opfcaptcha-prod.s3.amazonaws.com

      合并允许列表（ Dual-stack 具有向后兼容性的 IPv4 +）

    • start.home.awsapps.cn

    • start.[Region].home.awsapps.cn

    • [IAM-Identity-Center-instance-id].[Region].portal.amazonaws.com.cn

    • [IAM-Identity-Center-instance-id].portal.[Region].app.amazonwebservices.com.cn

    • oidc.[Region].amazonaws.com.cn

    • oidc.[Region].api.amazonwebservices.com.cn

    • *.applicationcatalog.amazonaws.com.cn

    • *.sso.[Region].amazonaws.com.cn

    • sso.[Region].api.amazonwebservices.com.cn

    • *.sso.amazonaws.cn

    • *.sso-portal.[Region].amazonaws.com.cn

    • portal.sso.[Region].api.amazonwebservices.com.cn

    • *.sso.[Region].amazonaws.cn

    • scim.[Region].api.amazonwebservices.com.cn

    • identitystore.[Region].api.amazonwebservices.com.cn

    • identity-sync.[Region].api.amazonwebservices.com.cn

    • dual-stack.auth-control.[Region].prod.apps-auth.aws.a2z.org.cn

    • pvs-cp.[Region].api.amazonwebservices.com.cn

    • aws-access-portal-website-prod-bjs-assets.s3.cn-north-1.amazonaws.com.cn

    • aws-access-portal-website-prod-zhy-assets.s3.cn-northwest-1.amazonaws.com.cn

    • s3.cn-north-1.amazonaws.com.cn/awsconsole-peregrine-portal-prod-bjs-assets

    • s3.cn-northwest-1.amazonaws.com.cn/awsconsole-peregrine-portal-prod-zhy-assets

    • [Region].signin.amazonaws.cn

    • [Region].sso.signin.amazonaws.cn

    • *.cloudfront.net

    • opfcaptcha-prod.s3.amazonaws.com

文档