Verwenden eines benannten IAM-Identity-Center-Profils

In diesem Thema wird beschrieben, wie Sie mit der AWS CLI Benutzer über das AWS IAM Identity Center (IAM Identity Center) authentifizieren, AWS CLI-Befehle auszuführen.

Anmerkung

Ob Ihre Anmeldeinformationen temporär gelten oder automatisch aktualisiert werden, hängt davon ab, wie Sie Ihr Profil zuvor konfiguriert haben.

Voraussetzungen

Sie haben ein IAM-Identity-Center-Profil konfiguriert. Weitere Informationen finden Sie unter Konfigurieren Sie den AWS CLI für die Verwendung der Anmeldeinformationen des IAM Identity Center-Token-Anbieters mit automatischer Authentifizierungsaktualisierung und Nicht aktualisierbare Legacy-Konfiguration für AWS IAM Identity Center.

Anmelden und Abrufen von Anmeldeinformationen

Anmerkung

Während des Anmeldevorgangs werden Sie möglicherweise aufgefordert, der AWS CLI Zugriff auf Ihre Daten zu gewähren. Da die AWS CLI auf dem SDK für Python aufbaut, können Berechtigungsnachrichten Variationen des Namens botocore enthalten.

Nachdem Sie ein benanntes Profil konfiguriert haben, können Sie es aufrufen, um Anmeldeinformationen von AWS anzufordern. Bevor Sie einen AWS CLI-Servicebefehl ausführen können, müssen Sie einen Satz von Anmeldeinformationen abrufen und zwischenspeichern. Führen Sie den folgenden Befehl aus, um diese Anmeldeinformationen abzurufen.

$ aws sso login --profile my-dev-profile

Die AWS CLI öffnet Ihren Standardbrowser und überprüft Ihre Anmeldung beim IAM Identity Center.

SSO authorization page has automatically been opened in your default browser. 
Follow the instructions in the browser to complete this authorization request.
Successfully logged into Start URL: https://my-sso-portal.awsapps.com/start

Wenn Sie derzeit nicht beim IAM Identity Center angemeldet sind, müssen Sie Ihre Anmeldeinformationen für das IAM Identity Center angeben.

Wenn die AWS CLI Ihren Browser nicht öffnen kann, werden Sie aufgefordert, ihn selbst zu öffnen und den angegebenen Code einzugeben.

$ aws sso login --profile my-dev-profile
Using a browser, open the following URL:
 
https://device.sso.us-west-2.amazonaws.com/

and enter the following code:
QCFK-N451

Die AWS CLI öffnet Ihren Standardbrowser (oder Sie öffnen den Browser Ihrer Wahl manuell) auf der angegebenen Seite und Sie geben den bereitgestellten Code ein. Die Webseite fordert Sie dann zur Eingabe Ihrer Anmeldeinformationen für das IAM Identity Center auf.

Ihre IAM-Identity-Center-Sitzungsanmeldeinformationen werden zwischengespeichert. Wenn es sich bei diesen Anmeldeinformationen um temporäre Anmeldeinformationen handelt, enthalten sie einen Ablaufzeitstempel. Wenn die Anmeldeinformationen ablaufen, werden Sie von der AWS CLI aufgefordert, sich erneut beim IAM Identity Center anzumelden.

Wenn Ihre IAM-Identity-Center-Anmeldeinformationen gültig sind, werden sie von der AWS CLI verwendet, um AWS-Anmeldeinformationen für die im Profil angegebene IAM-Rolle sicher abzurufen.

Welcome, you have successfully signed-in to the AWS-CLI.

Mit dem Parameter --sso-session des aws sso login-Befehls können Sie auch angeben, welches sso-session-Profil bei der Anmeldung verwendet werden soll.

$ aws sso login --sso-session my-dev-session
Attempting to automatically open the SSO authorization page in your default browser.
If the browser does not open or you wish to use a different device to authorize this request, open the following URL:
 
https://device.sso.us-west-2.amazonaws.com/

and enter the following code:
QCFK-N451

Successfully logged into Start URL: https://cli-reinvent.awsapps.com/start

Ausführen eines Befehls mit Ihrem IAM–Identity-Center-Profil

Sie können diese Anmeldeinformationen verwenden, um einen AWS CLI-Befehl mit dem zugeordneten benannten Profil aufzurufen. Das folgende Beispiel zeigt, dass der Befehl unter einer angenommenen Rolle ausgeführt wurde, die Teil des angegebenen Kontos ist.

$ aws sts get-caller-identity --profile my-dev-profile
{
    "UserId": "AROA12345678901234567:[e-mail]",
    "Account": "123456789011",
    "Arn": "arn:aws:sts::123456789011:assumed-role/AWSPeregrine_readOnly_12321abc454d123/[e-mail]"
}

Solange Sie beim IAM Identity Center angemeldet sind und diese zwischengespeicherten Anmeldeinformationen nicht abgelaufen sind, erneuert die AWS CLI abgelaufene AWS-Anmeldeinformationen bei Bedarf automatisch. Wenn Ihre IAM–Identity-Center-Anmeldeinformationen jedoch ablaufen, müssen Sie sie explizit erneuern, indem Sie sich erneut bei Ihrem IAM–Identity-Center-Konto anmelden.

$ aws s3 ls --profile my-sso-profile
Your short-term credentials have expired. Please sign-in to renew your credentials
SSO authorization page has automatically been opened in your default browser. 
Follow the instructions in the browser to complete this authorization request.

Abmelden bei Ihren IAM–Identity-Center-Sitzungen

Wenn Sie mit der Verwendung der IAM-Identity-Center-Profile fertig sind, haben Sie die Möglichkeit, nichts zu tun und die temporären AWS-Anmeldeinformationen und Ihre IAM-Identity-Center-Anmeldeinformationen ablaufen zu lassen. Sie können jedoch auch den folgenden Befehl ausführen, um sofort alle zwischengespeicherten Anmeldeinformationen im Cache-Ordner für SSO-Anmeldeinformationen sowie alle temporären AWS-Anmeldeinformationen, die auf den IAM–Identity-Center-Anmeldeinformationen basieren, zu löschen. Dadurch können diese Anmeldeinformationen nicht für zukünftige Befehle verwendet werden.

$ aws sso logout
Successfully signed out of all SSO profiles.

Wenn Sie später Befehle mit einem Ihrer IAM-Identity-Center-aktivierten Profile ausführen möchten, müssen Sie den aws sso login-Befehl erneut ausführen (siehe vorheriger Abschnitt) und das gewünschte Profil angeben.