Usa il AWS CLI per accedere al portale

A partire dalla versione 4.1.538 di Tools for PowerShell, il metodo consigliato per configurare le credenziali SSO e avviare una sessione del portale di AWS accesso consiste nell'utilizzare i Invoke-AWSSSOLogincmdlet Initialize-AWSSSOConfigurationand, come descritto in. Configura l'autenticazione dello strumento con AWS Se non si ha accesso a quella versione di Tools for PowerShell (o successiva) o non è possibile utilizzare tali cmdlet, è comunque possibile eseguire queste attività utilizzando il. AWS CLI

Configura gli strumenti per PowerShell utilizzare IAM Identity Center tramite. AWS CLI

Se non l'hai già fatto, assicurati di abilitare e configurare IAM Identity Center prima di procedere.

Le informazioni su come configurare gli strumenti PowerShell per utilizzare IAM Identity Center tramite IAM AWS CLI si trovano nella Fase 2 dell'argomento relativo all'autenticazione di IAM Identity Center nella Guida di riferimento agli AWS SDK e agli strumenti. Dopo aver completato questa configurazione, il sistema deve contenere i seguenti elementi:

• Il AWS CLI, che viene utilizzato per avviare una sessione del portale di AWS accesso prima di eseguire l'applicazione.

• Il AWS config file condiviso che contiene un [default]profilo con un set di valori di configurazione a cui è possibile fare riferimento negli Strumenti per PowerShell. Per trovare la posizione di questo file, consulta l'argomento relativo alla posizione dei file condivisi nella Guida di riferimento per SDK e strumenti AWS . Tools for PowerShell utilizza il provider di token SSO del profilo per acquisire le credenziali prima di inviare richieste a. AWS Il sso_role_name valore, che è un ruolo IAM connesso a un set di autorizzazioni IAM Identity Center, dovrebbe consentire l'accesso ai dati Servizi AWS utilizzati nell'applicazione.

  Il seguente config file di esempio mostra un [default] profilo configurato con un provider di token SSO. L'impostazione sso_session del profilo si riferisce alla sezione sso-session denominata. La sso-session sezione contiene le impostazioni per avviare una sessione del portale di AWS accesso.

  [default]
  sso_session = my-sso
  sso_account_id = 111122223333
  sso_role_name = SampleRole
  region = us-east-1
  output = json
  
  [sso-session my-sso]
  sso_region = us-east-1
  sso_start_url = https://provided-domain.awsapps.com/start
  sso_registration_scopes = sso:account:access

Importante

La PowerShell sessione deve avere i seguenti moduli installati e importati in modo che la risoluzione SSO possa funzionare:

• AWS.Tools.SSO

• AWS.Tools.SSOOIDC

Se utilizzi una versione precedente di Tools for PowerShell e non disponi di questi moduli, riceverai un errore simile al seguente: «Assembly AWSSDK .SSOOIDC could not be found...».

Avvia una sessione del portale di accesso AWS

Prima di eseguire i comandi di accesso Servizi AWS, è necessaria una sessione attiva del portale di AWS accesso in modo che Tools for Windows PowerShell possa utilizzare l'autenticazione IAM Identity Center per risolvere le credenziali. A seconda della durata della sessione configurata, l'accesso alla fine scadrà e gli Strumenti per Windows PowerShell riscontreranno un errore di autenticazione. Per accedere al portale di AWS accesso, esegui il seguente comando in. AWS CLI

aws sso login

Poiché si utilizza il [default] profilo, non è necessario richiamare il comando con l'--profileopzione. Se la configurazione del provider di token SSO utilizza un profilo denominato, il comando è aws sso login --profile named-profile invece. Per ulteriori informazioni sui profili denominati, consulta la sezione Profili nella Guida di riferimento agli AWS SDK e agli strumenti.

Per verificare se hai già una sessione attiva, esegui il AWS CLI comando seguente (con la stessa considerazione per named profile):

aws sts get-caller-identity

La risposta a questo comando dovrebbe restituire l'account IAM Identity Center e il set di autorizzazioni configurati nel file config condiviso.

Nota

Se hai già una sessione attiva del portale di AWS accesso ed eseguiaws sso login, non ti verrà richiesto di fornire credenziali.

La procedura di accesso potrebbe richiedere all'utente di consentire l' AWS CLI accesso ai dati. Poiché AWS CLI è basato sull'SDK per Python, i messaggi di autorizzazione possono contenere variazioni del botocore nome.

Esempio

Di seguito è riportato un esempio di come utilizzare IAM Identity Center con gli strumenti per. PowerShell Si presume quanto segue:

• Hai abilitato IAM Identity Center e lo hai configurato come descritto in questo argomento. Le proprietà SSO si trovano nel profilo [default].

• Quando accedi tramite AWS CLI by usingaws sso login, quell'utente dispone almeno delle autorizzazioni di sola lettura per Amazon S3.

• Alcuni bucket S3 sono disponibili per la visualizzazione da parte dell'utente.

Usa i seguenti PowerShell comandi per visualizzare un elenco dei bucket S3:

Install-Module AWS.Tools.Installer
Install-AWSToolsModule S3
# And if using an older version of the AWS Tools for PowerShell:
Install-AWSToolsModule SSO, SSOOIDC

# In older versions of the AWS Tools for PowerShell, we're not invoking a cmdlet from these modules directly, 
# so we must import them explicitly:
Import-Module AWS.Tools.SSO
Import-Module AWS.Tools.SSOOIDC

# Older versions of the AWS Tools for PowerShell don't support the SSO login flow, so login with the CLI
aws sso login

# Now we can invoke cmdlets using the SSO profile
Get-S3Bucket

Come accennato in precedenza, poiché si utilizza il [default] profilo, non è necessario chiamare il Get-S3Bucket cmdlet con l'opzione. -ProfileName Se la configurazione del provider di token SSO utilizza un profilo denominato, il comando è Get-S3Bucket -ProfileName named-profile. Per ulteriori informazioni sui profili denominati, vedere la sezione Profili nella Guida di riferimento agli AWS SDK e agli strumenti.

Informazioni aggiuntive

• Per ulteriori opzioni sull'autenticazione per gli Strumenti per PowerShell, come l'uso di profili e variabili di ambiente, consulta il capitolo sulla configurazione nella Guida di riferimento agli AWS SDK e agli strumenti.

• Alcuni comandi richiedono la specificazione di una AWS regione. Esistono diversi modi per farlo, tra cui l'opzione del -Region cmdlet, il [default] profilo e la variabile di AWS_REGION ambiente. Per ulteriori informazioni, consulta Specificare AWS le regioni questa guida e l'AWS area geografica nella Guida di riferimento agli AWS SDK e agli strumenti.

• Per ulteriori informazioni sulle best practice, consulta Best practice per la sicurezza in IAM nella Guida per l'utente di IAM.

• Per creare AWS credenziali a breve termine, consulta Temporary Security Credentials nella IAM User Guide.

• Per ulteriori informazioni su altri provider di credenziali, consulta l'argomento relativo ai provider di credenziali standard nella Guida di riferimento per SDK e strumenti AWS .