# Sessões e controle de acesso
<a name="aam-sessions-access-control"></a>

## Noções básicas sobre sessões
<a name="aam-understanding-sessions"></a>

Os usuários que acessam as Contas da AWS usando atribuições no gerenciador de acesso à conta iniciam os seguintes tipos de sessão:

1. **Sessão de perfil do IAM** — O perfil do IAM que um usuário assume é uma credencial temporária para acesso aos recursos da AWS com duração padrão de 1 hora.

1. **Sessão do portal de acesso à conta** — Os usuários iniciam essa sessão ao usar o portal de acesso à conta. Ela é gerenciada como uma [sessão de aplicativo](https://docs.aws.amazon.com/singlesignon/latest/userguide/authconcept.html) pelo IAM Identity Center.

1. **Sessão do portal de acesso da AWS (também chamada de [sessão interativa do usuário](https://docs.aws.amazon.com/singlesignon/latest/userguide/authconcept.html))** — Essa sessão é gerenciada pelo IAM Identity Center.

1. **Sessão de fonte de identidade externa (IdP ou Microsoft AD)** — Essa sessão é aplicável quando a instância do IAM Identity Center está conectada a uma fonte de identidade externa para autenticação.

Para obter mais informações sobre sessões interativas com usuários e aplicativos no IAM Identity Center, incluindo a duração da sessão, consulte [Noções básicas sobre sessões de autenticação no IAM Identity Center](https://docs.aws.amazon.com/singlesignon/latest/userguide/authconcept.html) no *Guia do usuário do Centro de Identidade do AWS IAM*.

**Importante**  
As sessões de perfis do IAM atribuídas pelo gerenciador de acesso à conta operam com base na duração padrão da sessão de 1 hora, independentemente da duração máxima da sessão definida no perfil do IAM, do status das sessões no portal de acesso à conta e no portal de acesso da AWS.

## Revogar acesso do usuário
<a name="aam-revoke-user-access"></a>

Para revogar o acesso do usuário assumido por meio de atribuições de perfil do gerenciador de acesso à conta, consulte [Revogar acesso do usuário](https://docs.aws.amazon.com/singlesignon/latest/userguide/revoke-user-permissions.html) no *Guia do usuário do Centro de Identidade do AWS IAM*.

## Controle de acesso por atributo
<a name="aam-abac"></a>

Você pode configurar seu provedor de identidades (IdP) para enviar atributos como tags de sessão por meio de declarações SAML definindo o nome do atributo como `https://aws.amazon.com/SAML/Attributes/AccessControl:TagKey`, onde {{TagKey}} é a chave da tag de sessão que você deseja preencher. O IAM Identity Center passa o nome e o valor do atributo do IdP para avaliação da política.