Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

IAM Identity Center 凭证提供者

此身份验证机制 Amazon IAM Identity Center 用于获取您的代码的单点登录 (SSO) 访问 Amazon Web Services 权限。

启用 IAM Identity Center 后，您可以在共享 Amazon config文件中为其设置定义配置文件。此配置文件用于连接到 IAM Identity Center 访问门户。当用户成功通过 IAM Identity Center 进行身份验证后，门户将返回与该用户关联的 IAM 角色的短期凭证。要了解 SDK 如何从配置中获取临时证书并将其用于 Amazon Web Service 请求，请参阅了解 IAM Identity Center 身份验证。

通过 config 文件配置 IAM Identity Center 有两种方式：

在这两种配置中，您都需要在会话到期后重新登录。

要设置自定义会话持续时间，必须使用 SSO 令牌提供商配置。

以下两份指南包含有关 IAM Identity Center 的其他信息：

先决条件

您必须先启用 IAM Identity Center。有关启用 IAM 身份中心验证的详细信息，请参阅 Amazon IAM Identity Center 《用户指南》 中的 入门。

或者，请按照本指南中的 IAM Identity Center 身份验证 说明进行操作。这些说明提供了完整的指导，从启用 IAM Identity Center 到完成以下必要的共享 config 文件配置。

SSO 令牌提供商配置

当您使用 SSO 令牌提供程序配置时，您的 Amazon SDK 或工具会自动刷新您的会话，直到延长的会话时段为止。有关会话持续时间和最长持续时间的更多信息，请参阅Amazon IAM Identity Center 用户指南中的配置 Amazon 访问门户和 IAM Identity Center 集成应用程序的会话持续时间。

该config文件的sso-session部分用于对用于获取 SSO 访问令牌的配置变量进行分组，然后可以使用这些变量来获取 Amazon 凭证。有关 config 文件中格式化部分的更多详细信息，请参阅 配置文件的格式。

您定义一个 sso-session 部分并将其关联到配置文件。必须在 sso-session 部分内设置 sso_region 和 sso_start_url。通常，sso_role_name必须在profile部分中设置sso_account_id和，这样 SDK 才能请求 Amazon 凭证。

以下示例将 SDK 配置为请求 IAM Identity Center 凭证。它还支持自动刷新令牌。

[profile dev]
sso_session = my-sso
sso_account_id = 111122223333
sso_role_name = SampleRole

[sso-session my-sso]
sso_region = us-east-1
sso_start_url = https://my-sso-portal.awsapps.com/start
sso_registration_scopes = sso:account:access

您可以跨多个配置文件重复使用 sso-session 配置。

[profile dev]
sso_session = my-sso
sso_account_id = 111122223333
sso_role_name = SampleRole

[profile prod]
sso_session = my-sso
sso_account_id = 111122223333
sso_role_name = SampleRole2

[sso-session my-sso]
sso_region = us-east-1
sso_start_url = https://my-sso-portal.awsapps.com/start
sso_registration_scopes = sso:account:access

并不是所有 SSO 令牌配置场景都需要 sso_account_id 和 sso_role_name。如果您的应用程序仅使用支持持 Amazon Web Services 有者身份验证的凭证，则不需要传统 Amazon 凭证。持有者身份验证是一种 HTTP 身份验证方案，它使用称为持有者令牌的安全令牌。在这种情况下，不需要 sso_account_id 和 sso_role_name。请参阅个人指南， Amazon Web Service 以确定它是否支持不记名令牌授权。

注册范围配置为 sso-session 的一部分。范围是 OAuth 2.0 中的一种机制，用于限制应用程序对用户账户的申请访问。应用程序可以请求一个或多个范围，向应用程序签发的访问令牌将仅限于授予的范围。这些范围定义了为已注册的 OIDC 客户端请求授权的权限和客户端检索的访问令牌。有关支持的访问范围选项，请参阅 Amazon IAM Identity Center 用户指南 中的 访问范围。以下示例将 sso_registration_scopes 设置为提供已列出账户/角色的访问权限。

[sso-session my-sso]
sso_region = us-east-1
sso_start_url = https://my-sso-portal.awsapps.com/start
sso_registration_scopes = sso:account:access

身份验证令牌缓存到 ~/.aws/sso/cache 目录下的磁盘上，文件名基于会话名称。

遗留的不可刷新配置

使用遗留的不可刷新配置不支持自动令牌刷新。我们建议改用 SSO 令牌提供商配置。

要使用传统的不可刷新配置，您必须在配置文件中指定以下设置：

可以使用 sso_start_url 和 sso_region 设置为配置文件指定用户门户。可以使用 sso_account_id 和 sso_role_name 设置来指定权限。

以下示例设置了 config 文件中的四个必需值。

[profile my-sso-profile]
sso_start_url = https://my-sso-portal.awsapps.com/start
sso_region = us-west-2
sso_account_id = 111122223333
sso_role_name = SSOReadOnlyRole

身份验证令牌缓存到 ~/.aws/sso/cache 目录下的磁盘上，文件名基于 sso_start_url。

IAM Identity Center 凭证提供者设置

与 Amazon SDK 的兼容性

以下 SDK 支持本主题中所述的功能和设置。所有部分例外情况均已注明。 Amazon SDK for Java 和 Amazon SDK for Kotlin 唯一支持任何 JVM 系统属性设置。