# Sesiones y control de acceso
<a name="aam-sessions-access-control"></a>

## Descripción de las sesiones
<a name="aam-understanding-sessions"></a>

Los usuarios que acceden a Cuentas de AWS mediante las asignaciones del administrador de acceso a la cuenta inician los siguientes tipos de sesión:

1. **Sesión de rol de IAM**: el rol de IAM que asume un usuario es una credencial temporal para acceder a los recursos de AWS con una duración predeterminada de 1 hora.

1. **Sesión del portal de acceso a cuentas**: los usuarios inician esta sesión cuando utilizan el portal de acceso a cuentas. IAM Identity Center la administra como una [sesión de aplicación](https://docs.aws.amazon.com/singlesignon/latest/userguide/authconcept.html).

1. **Sesión del portal de acceso de AWS (también denominada [sesión interactiva de usuario](https://docs.aws.amazon.com/singlesignon/latest/userguide/authconcept.html))**: IAM Identity Center administra esta sesión.

1. **Sesión de origen de identidad externo (IdP o Microsoft AD)**: esta sesión se aplica cuando la instancia de IAM Identity Center está conectada a un origen de identidad externo para la autenticación.

Para obtener más información sobre las sesiones interactivas de usuario y las sesiones de aplicación en IAM Identity Center, incluida la duración de las sesiones, consulte [Descripción de las sesiones de autenticación en IAM Identity Center](https://docs.aws.amazon.com/singlesignon/latest/userguide/authconcept.html) en la *Guía del usuario de AWS IAM Identity Center*.

**importante**  
Las sesiones de los roles de IAM asignados por el administrador de acceso a la cuenta funcionan según la duración de sesión predeterminada de 1 hora, independientemente de la duración máxima de sesión establecida en el rol de IAM, del estado de las sesiones en el portal de acceso a la cuenta y del el portal de acceso de AWS.

## Revocar el acceso de usuario
<a name="aam-revoke-user-access"></a>

Para revocar el acceso de los usuarios obtenido mediante las asignaciones de roles del administrador de acceso a la cuenta, consulte [Revocar el acceso de los usuarios](https://docs.aws.amazon.com/singlesignon/latest/userguide/revoke-user-permissions.html) en la *Guía del usuario AWS IAM Identity Center*.

## Control de acceso basado en atributos
<a name="aam-abac"></a>

Puede configurar su proveedor de identidad (IdP) para que envíe atributos como etiquetas de sesión mediante aserciones de SAML. Para hacerlo, establezca el nombre del atributo en `https://aws.amazon.com/SAML/Attributes/AccessControl:TagKey`, donde {{TagKey}} es la clave de etiqueta de sesión que desea completar. IAM Identity Center transfiere el nombre y el valor del atributo desde el IdP para la evaluación de la política.