Amazon IAM Identity Center (successor to Amazon Single Sign-On) 的具有自动身份验证刷新功能的令牌提供程序配置

在 Amazon CLI 中配置启用了 IAM Identity Center 的配置文件和 sso-session

1. 运行 aws configure sso 命令并提供 IAM Identity Center 启动 URL 和托管 Identity Center 目录的 Amazon 区域。

   $ aws configure sso
   SSO session name (Recommended): my-sso
   SSO start URL [None]: https://my-sso-portal.awsapps.com/start
   SSO region [None]: us-east-1
   SSO registration scopes [None]: sso:account:access

2. Amazon CLI 尝试打开原定设置浏览器，并开始您的 IAM Identity Center 账户的登录过程。

   Attempting to automatically open the SSO authorization page in your default browser.

   如果 Amazon CLI 无法打开浏览器，则会显示以下消息，其中包含有关如何手动开始登录过程的说明。

   If the browser does not open or you wish to use a different device to authorize this request, open the following URL:
    
   https://device.sso.us-west-2.amazonaws.com/
   
   Then enter the code:
   
   QCFK-N451

   IAM Identity Center 使用代码将 IAM Identity Center 会话与当前 Amazon CLI 会话关联。IAM Identity Center 浏览器页面会提示您使用 IAM Identity Center 凭证登录。这样可向 Amazon CLI 授予权限以检索和显示您有权与 IAM Identity Center 一起使用的 Amazon 账户和角色。

   注意

   登录过程可能会提示您允许 Amazon CLI 访问您的数据。由于 Amazon CLI 基于 SDK for Python 而构建，因此权限消息可能包含 botocore 名称的变体。

3. Amazon CLI 会显示可供您使用的 Amazon 账户。如果您只被授权使用一个账户，Amazon CLI 会自动为您选择该账户并跳过提示。可供您使用的 Amazon 账户由 IAM Identity Center 中的用户配置决定。

   There are 2 Amazon accounts available to you.
   > DeveloperAccount, developer-account-admin@example.com (123456789011) 
     ProductionAccount, production-account-admin@example.com (123456789022)

   使用箭头键选择要使用的账户。左侧的“>”字符指向当前选择。按 Enter 进行选择。

4. Amazon CLI 确认您选择的账户，并显示所选账户中可供您使用的 IAM 角色。如果所选账户仅列出一个角色，Amazon CLI 会自动为您选择该角色并跳过提示。可供您使用的角色由 IAM Identity Center 中的用户配置决定。

   Using the account ID 123456789011
   There are 2 roles available to you.
   > ReadOnly
     FullAccess

   使用箭头键选择要使用的 IAM 角色，然后按 <ENTER> 键。

5. 指定默认输出格式、要向其发送命令的默认 Amazon Web Services 区域，并提供配置文件名称，以便您可以从本地计算机上定义的所有配置文件中引用此配置文件。在以下示例中，用户输入原定设置区域、原定设置输出格式和配置文件的名称。如果您具有以前的现有配置，也可以按下 <ENTER> 以选择方括号之间显示的任何原定设置值。建议的配置文件名称是账户 ID 号，并依次后跟下划线和角色名称。

   CLI default client Region [None]: us-west-2<ENTER>
   CLI default output format [None]: json<ENTER>
   CLI profile name [123456789011_ReadOnly]: my-dev-profile<ENTER>

   注意

   如果您指定 default 作为配置文件名称，则每当您运行 Amazon CLI 命令但不指定配置文件名称时，此配置文件将变为使用的配置文件。

6. 最后一条消息描述了完成的配置文件配置。

   To use this profile, specify the profile name using --profile, as shown:
   
   aws s3 ls --profile my-dev-profile

7. 这会导致在 ~/.aws/config 中创建 sso-session 部分和命名配置文件，具体如下所示：

   [profile my-dev-profile]
   sso_session = my-sso
   sso_account_id = 123456789011
   sso_role_name = readOnly
   region = us-west-2
   output = json
   
   [sso-session my-sso]
   sso_region = us-east-1
   sso_start_url = https://my-sso-portal.awsapps.com/start
   sso_registration_scopes = sso:account:access

   现在，您可以使用此 sso-session 和配置文件来请求刷新的凭证。使用 aws sso login 命令请求和检索运行命令所需的凭证。有关说明，请参阅 使用启用了 IAM Identity Center 的命名配置文件 。