Konfiguration der IAM Identity Center-Authentifizierung mit dem AWS CLI

1. Sammeln Sie Ihre SSO Region- und SSO Start URL-Werte, die Sie für die Ausführung von aws configure sso benötigen.

   1. Wählen Sie in Ihrem AWS Zugriffsportal den Berechtigungssatz aus, den Sie für die Entwicklung verwenden, und klicken Sie auf den Link Zugriffstasten.

   2. Wählen Sie im Dialogfeld Anmeldeinformationen abrufen die Registerkarte aus, die Ihrem Betriebssystem entspricht.

   3. Wählen Sie die Methode Anmeldeinformationen für IAM Identity Center aus, um die Werte für SSO Start URL und SSO Region abzurufen.

2. Alternativ können Sie ab Version 2.22.0 die Aussteller-URL anstelle der Start-URL verwenden. Die Aussteller-URL befindet sich in der AWS IAM Identity Center Konsole an einem der folgenden Orte:

   • Auf der Dashboard-Seite finden Sie die Aussteller-URL in der Einstellungsübersicht.

   • Auf der Seite Einstellungen finden Sie die Aussteller-URL in den Einstellungen für die Identitätsquelle.

3. Informationen dazu, welcher Bereichswert registriert werden muss, finden Sie unter OAuth 2.0 Access Scopes im IAM Identity Center-Benutzerhandbuch.

So konfigurieren Sie ein Profil für IAM Identity Center für Ihre AWS CLI:

1. Führen Sie den Befehl aws configure sso in Ihrem bevorzugten Terminal aus.

   (Recommended) IAM Identity Center

   Erstellen Sie einen Sitzungsnamen, geben Sie Ihre IAM Identity Center-Start-URL oder die Aussteller-URL, die URL, die AWS-Region das IAM Identity Center-Verzeichnis hostet, und den Registrierungsbereich an.

   $ aws configure sso
   SSO session name (Recommended): my-sso
   SSO start URL [None]: https://my-sso-portal.awsapps.com/start
   SSO region [None]: us-east-1
   SSO registration scopes [None]: sso:account:access

   Verwenden Sie für Dual-Stack-Unterstützung die Dual-Stack-SSO-Start-URL:

   $ aws configure sso
   SSO session name (Recommended): my-sso
   SSO start URL [None]: https://ssoins-1234567890abcdef.portal.us-east-1.app.aws
   SSO region [None]: us-east-1
   SSO registration scopes [None]: sso:account:access

   Die Autorisierung mit Proof Key for Code Exchange (PKCE) wird AWS CLI ab Version 2.22.0 standardmäßig verwendet und muss auf Geräten mit einem Browser verwendet werden. Um die Geräteautorisierung weiterhin zu verwenden, fügen Sie die Option --use-device-code hinzu.

   $ aws configure sso --use-device-code

   Legacy IAM Identity Center

   Überspringen Sie den Sitzungsnamen und geben Sie Ihre Start-URL für IAM Identity Center sowie die AWS -Region an, in der sich das Identity-Center-Verzeichnis befindet.

   $ aws configure sso
   SSO session name (Recommended):
   SSO start URL [None]: https://my-sso-portal.awsapps.com/start
   SSO region [None]:us-east-1

   Für Dual-Stack-Unterstützung:

   $ aws configure sso
   SSO session name (Recommended):
   SSO start URL [None]: https://ssoins-1234567890abcdef.portal.us-east-1.app.aws
   SSO region [None]:us-east-1

2. Die AWS CLI Versuche, Ihren Standardbrowser für den Anmeldevorgang Ihres IAM Identity Center-Kontos zu öffnen. Bei diesem Vorgang werden Sie möglicherweise aufgefordert, den AWS CLI Zugriff auf Ihre Daten zuzulassen. Da AWS CLI das auf dem SDK für Python aufbaut, können Berechtigungsnachrichten Variationen des botocore Namens enthalten.

   • Wenn der Browser AWS CLI nicht geöffnet werden kann, werden je nach Art der von Ihnen verwendeten Autorisierung Anweisungen zum manuellen Starten des Anmeldevorgangs angezeigt.

     PKCE authorization

     Die Autorisierung mit Proof Key for Code Exchange (PKCE) wird AWS CLI ab Version 2.22.0 standardmäßig verwendet. Die angezeigte URL ist eine eindeutige URL, die beginnt mit:

     • IPv4: https://oidc.us-east-1.amazonaws.com/authorize

     • Dual-Stack: https://oidc.us-east-1.api.aws/authorize

     Die PKCE-Autorisierung URLs muss auf demselben Gerät geöffnet werden, auf dem Sie sich anmelden, und für ein Gerät mit einem Browser verwendet werden.

     Attempting to automatically open the SSO authorization page in your 
     default browser.
     If the browser does not open or you wish to use a different device to 
     authorize the request, open the following URL:
     
     https://oidc.us-east-1.amazonaws.com/authorize?<abbreviated>

     Device authorization

     Die OAuth 2.0-Geräteautorisierung wird von allen Versionen verwendet, die AWS CLI älter als 2.22.0 sind. Sie können diese Methode in neueren Versionen mit der Option --use-device-code aktivieren.

     Die Geräteautorisierung muss URLs nicht auf demselben Gerät geöffnet werden, auf dem Sie sich anmelden. Sie kann für Geräte mit oder ohne Browser verwendet werden. Das Endpunktformat hängt von Ihrer Konfiguration ab:

     • IPv4: https://device.sso.us-west-2.amazonaws.com/

     • Dual-Stack: https://device.sso.us-west-2.api.aws/

     If the browser does not open or you wish to use a different device to 
     authorize this request, open the following URL:
     https://device.sso.us-west-2.amazonaws.com/
     
     Then enter the code:
     QCFK-N451

     Mehr anzeigenWeniger anzeigen

3. Wählen Sie das zu verwendende AWS Konto aus der angezeigten Liste aus. Wenn Sie berechtigt sind, nur ein Konto zu verwenden, wählt das AWS CLI automatisch dieses Konto aus und überspringt die Eingabeaufforderung.

   There are 2 AWS accounts available to you.
   > DeveloperAccount, developer-account-admin@example.com (123456789011) 
     ProductionAccount, production-account-admin@example.com (123456789022)

4. Wählen Sie die zu verwendende IAM-Rolle aus der angezeigten Liste aus. Wenn nur eine Rolle verfügbar ist, wählt der AWS CLI automatisch diese Rolle aus und überspringt die Eingabeaufforderung.

   Using the account ID 123456789011
   There are 2 roles available to you.
   > ReadOnly
     FullAccess

5. Geben Sie das Standardausgabeformat, die Standard- AWS-Region für das Senden von Befehlen und einen Namen für das Profil an. Wenn Sie default als Profilnamen angeben, wird dieses Profil als Standardprofil verwendet. Im folgenden Beispiel gibt der Benutzer eine Standardregion, ein Standardausgabeformat und den Namen des Profils ein.

   Default client Region [None]: us-west-2<ENTER>
   CLI default output format (json if not specified) [None]: json<ENTER>
   Profile name [123456789011_ReadOnly]: my-dev-profile<ENTER>

6. Eine abschließende Meldung beschreibt die abgeschlossene Profilkonfiguration. Sie können dieses Profil nun verwenden, um Anmeldeinformationen anzufordern. Verwenden Sie den aws sso login-Befehl, um die Anmeldeinformationen, die zum Ausführen von Befehlen erforderlich sind, anzufordern und abzurufen. Detaillierte Anweisungen finden Sie unter Anmelden für eine Sitzung in IAM Identity Center.