Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

IAM身份中心凭证提供商

此身份验证机制 Amazon IAM Identity Center 用于获取您的代码的单点登录 (SSO) 访问 Amazon Web Services 服务 权限。

启用 IAM Identity Center 后，您可以在共享 Amazon config文件中为其设置定义配置文件。此配置文件用于连接到IAM身份中心访问门户。当用户成功通过 Identity Center 进行IAM身份验证后，门户会返回与该用户关联的IAM角色的短期证书。要了解如何从配置中SDK获取临时证书并将其用于 Amazon Web Services 服务 请求，请参阅了解 IAM Identity Center 身份验证。

通过该config文件配置IAM身份中心有两种方法：

在这两种配置中，您都需要在会话到期后重新登录。

以下两份指南包含有关IAM身份中心的其他信息：

要深入了解SDKs和工具如何使用和使用此配置刷新凭据，请参阅了解 IAM Identity Center 身份验证。

先决条件

您必须先启用 “IAM身份中心”。有关启用 Ident IAM ity Center 身份验证的详细信息，请参阅Amazon IAM Identity Center 用户指南 Amazon IAM Identity Center中的启用。

SSO令牌提供者配置

当您使用SSO令牌提供程序配置时，您的 Amazon SDK或工具会自动刷新您的会话，直到延长的会话时段为止。有关会话持续时间和最长持续时间的更多信息，请参阅Amazon IAM Identity Center 用户指南中的配置 Amazon 访问门户和 Ident IAM ity Center 集成应用程序的会话持续时间。

该config文件的sso-session部分用于对用于获取SSO访问令牌的配置变量进行分组，然后可以使用这些变量来获取 Amazon 凭证。有关config文件中此部分的更多详细信息，请参阅配置文件的格式。

以下共享config文件示例使用配置文件配置SDK或工具，以请求 Ident dev IAM ity Center 凭证。

[profile dev]
sso_session = my-sso
sso_account_id = 111122223333
sso_role_name = SampleRole

[sso-session my-sso]
sso_region = us-east-1
sso_start_url = https://my-sso-portal.awsapps.com/start
sso_registration_scopes = sso:account:access

前面的示例显示了您定义一个sso-session截面并将其与截面相关联。通常，sso_role_name必须在profile部分中设置sso_account_id和，以便SDK可以请求 Amazon 证书。 sso_regionsso_start_url、和，sso_registration_scopes必须在该sso-session部分中设置。

sso_account_id并且sso_role_name不是所有SSO令牌配置场景都必需的。如果您的应用程序仅使用支持持 Amazon Web Services 服务 有者身份验证的凭证，则不需要传统 Amazon 凭证。持有人身份验证是一种使用称为不记名令牌的安全令牌的HTTP身份验证方案。在这种情况下，不需要 sso_account_id 和 sso_role_name。要确定该服务是否支持不记名令牌授权，请参阅个人 Amazon Web Services 服务 指南。

注册范围配置为 sso-session 的一部分。作用域是一种机制 OAuth 2.0 限制应用程序对用户帐户的访问权限。前面的示例设置sso_registration_scopes为列出账户和角色提供必要的访问权限。

以下示例显示了如何在多个配置文件中重复使用相同的sso-session配置。

[profile dev]
sso_session = my-sso
sso_account_id = 111122223333
sso_role_name = SampleRole

[profile prod]
sso_session = my-sso
sso_account_id = 111122223333
sso_role_name = SampleRole2

[sso-session my-sso]
sso_region = us-east-1
sso_start_url = https://my-sso-portal.awsapps.com/start
sso_registration_scopes = sso:account:access

身份验证令牌缓存到 ~/.aws/sso/cache 目录下的磁盘上，文件名基于会话名称。

遗留的不可刷新配置

使用遗留的不可刷新配置不支持自动令牌刷新。我们建议改用 SSO令牌提供者配置。

要使用传统的不可刷新配置，您必须在配置文件中指定以下设置：

可以使用 sso_start_url 和 sso_region 设置为配置文件指定用户门户。可以使用 sso_account_id 和 sso_role_name 设置来指定权限。

以下示例设置了 config 文件中的四个必需值。

[profile my-sso-profile]
sso_start_url = https://my-sso-portal.awsapps.com/start
sso_region = us-west-2
sso_account_id = 111122223333
sso_role_name = SSOReadOnlyRole

身份验证令牌缓存到 ~/.aws/sso/cache 目录下的磁盘上，文件名基于 sso_start_url。

IAM身份中心凭证提供商设置

兼容 Amazon SDKs

以下内容SDKs支持本主题中描述的功能和设置。所有部分例外情况均已注明。 Amazon SDK for Java 和 Amazon SDK for Kotlin 唯一支持任何JVM系统属性设置。