Überlegungen zur Sitzungsdauer bei der Verwendung von Identitätsquellen, der AWS CLI und AWS SDKs

AWS Managed Microsoft AD: Wenn Sie „ AWS Managed Microsoft AD configured in“ verwenden AWS Directory Service, ist die maximale Gültigkeitsdauer für Benutzer-Kerberos-Tickets auf 10 Stunden festgelegt. Daher ist die Dauer der interaktiven Benutzersitzung auf 10 Stunden festgelegt, je nachdem, welcher der kürzere Wert der IAM Identity Center-Einstellung ist. Wenn Sie beispielsweise die Dauer der interaktiven Benutzersitzung auf 12 Stunden festlegen, müssen sich Ihre Benutzer nach 10 Stunden erneut im AWS Access Portal authentifizieren. Das gleiche 10-Stunden-Limit gilt für erweiterte Sitzungen für Kiro.

AD Connector: Wenn Sie den in konfigurierten AD Connector verwenden AWS Directory Service, wird die maximale Lebensdauer für Benutzer-Kerberos-Tickets in Microsoft AD hinter dem AD Connector definiert. Der Standardwert ist 10 Stunden und hat dieselbe Auswirkung auf interaktive Benutzersitzungen und erweiterte Sitzungen wie für. AWS Managed Microsoft AD Obwohl dieses Limit möglicherweise in Microsoft AD konfigurierbar ist, empfehlen wir, dass Sie mit Ihrem IT-Administrator zusammenarbeiten, um die Risiken abzuwägen, insbesondere weil sich diese Einstellung auf die Sitzungsdauer für andere Microsoft AD-Clientanwendungen auswirken kann.

Wenn keine SAML-Assertion übergeben SessionNotOnOrAfter wird, wird die Dauer einer AWS Access-Portal-Sitzung (benutzerinteraktiv) und einer erweiterten Sitzung nicht von der Dauer Ihrer externen IdP-Sitzung beeinflusst. Wenn Ihre IdP-Sitzung beispielsweise 24 Stunden dauert und Sie im IAM Identity Center eine Sitzungsdauer von 18 Stunden festlegen, müssen sich Ihre Benutzer nach 18 Stunden erneut im AWS Zugriffsportal authentifizieren. Wenn Sie eine erweiterte Sitzung von 90 Tagen für Kiro einrichten, müssen sich Ihre Kiro-Benutzer ebenfalls nach 90 Tagen erneut authentifizieren.

Wenn eine SAML-Assertion übergeben SessionNotOnOrAfter wird, wird der Wert für die Sitzungsdauer auf den kürzeren Wert der AWS Access-Portal-Sitzung (benutzerinteraktiv) oder die erweiterte Sitzungsdauer und Ihre SAML-IdP-Sitzungsdauer gesetzt. Wenn Sie in IAM Identity Center eine Sitzungsdauer von 72 Stunden festlegen und Ihr IdP eine Sitzungsdauer von 18 Stunden hat, haben Ihre Benutzer für die in Ihrem IdP definierten 18 Stunden Zugriff auf AWS Ressourcen. Wenn Sie eine erweiterte Sitzung von 90 Tagen für Kiro einrichten, müssen sich Ihre Kiro-Benutzer ebenfalls nach 18 Stunden erneut in Kiro authentifizieren.

Wenn die Sitzungsdauer Ihres IdP länger ist als die in IAM Identity Center festgelegte, können Ihre Benutzer eine neue IAM Identity Center-Sitzung starten, ohne ihre Anmeldeinformationen erneut eingeben zu müssen, basierend auf ihrer noch gültigen Anmeldesitzung mit Ihrem IdP.

Sie müssen die Sitzungsdauer des AWS Zugriffsportals in der IAM Identity Center-Konsole konfigurieren.

Sie müssen in Ihrer gemeinsam genutzten AWS Konfigurationsdatei ein Profil für Single Sign-On-Einstellungen definieren. Dieses Profil wird verwendet, um eine Verbindung zum AWS Zugriffsportal herzustellen. Wir empfehlen, die Konfiguration des SSO-Token-Anbieters zu verwenden. Mit dieser Konfiguration kann Ihr AWS SDK oder Tool automatisch aktualisierte Authentifizierungstoken abrufen. Weitere Informationen finden Sie unter Konfiguration des SSO-Token-Anbieters im AWS SDK- und Tools-Referenzhandbuch.

Benutzer müssen eine Version des AWS CLI oder eines SDK ausführen, das die Sitzungsverwaltung unterstützt.

AWS CLI V2 2.9 oder höher

AWS CLI V1 1.27.10 oder später