Failover para uma região adicional para acesso Conta da AWS

O tópico de Conta da AWS acesso por meio do IAM Identity Center é abordado extensivamente emConfigurar o acesso a Contas da AWS. Esta seção fornece detalhes adicionais relevantes para manter o Conta da AWS acesso entre vários Regiões da AWS no caso de uma interrupção do serviço na região principal.

Se sua instância do IAM Identity Center estiver passando por uma interrupção na região principal, sua força de trabalho pode mudar para uma região adicional para continuar acessando Conta da AWS aplicativos e aplicativos não afetados. A seção Acesso à força de trabalho por meio de uma região adicional explica como acessar o Portal de acesso da AWS em uma região adicional.

Recomendamos que você comunique os Portal de acesso da AWS endpoints em regiões adicionais e a configuração do IdP externo (como aplicativos de favoritos para as regiões adicionais) à sua força de trabalho assim que concluir a configuração. Replique o IAM Identity Center para uma região adicional Isso permitirá que eles estejam prontos para o failover para uma região adicional, se necessário.

Da mesma forma, recomendamos que AWS CLI os usuários criem AWS CLI perfis para regiões adicionais para cada um dos perfis que eles têm para a região principal. Em seguida, eles podem mudar para esse perfil se houver uma interrupção do serviço na região principal.

nota

A continuidade do acesso a Conta da AWS s também depende da integridade do seu IdP externo e das permissões, como atribuições de conjuntos de permissões e associações a grupos, provisionadas e replicadas antes da interrupção do serviço. Recomendamos que sua organização também configure o acesso AWS rápido para manter o AWS acesso a um pequeno grupo de usuários privilegiados quando o IdP externo tiver uma interrupção no serviço. Configure o acesso de emergência ao Console de gerenciamento da AWSé uma opção semelhante que evita o uso de usuários do IAM, mas também depende do IdP externo.

Conta da AWS resiliência de acesso sem vários ACS URLs

Alguns provedores de identidade externos (IdPs) não oferecem suporte a vários serviços ao consumidor de asserção (ACS) URLs em seu aplicativo IAM Identity Center. Vários ACS URLs são um recurso SAML necessário para o login direto em uma região específica em um centro de identidade IAM multirregional.

Para permitir que seus usuários os acessem Contas da AWS por meio de várias regiões do IAM Identity Center, você deve configurar o respectivo ACS regional URLs no IdP externo. No entanto, se o IdP externo oferecer suporte apenas a uma única URL do ACS em seu aplicativo do IAM Identity Center, os usuários poderão fazer login diretamente em uma única região do IAM Identity Center.

Para resolver esse problema, trabalhe com seu fornecedor de IdP para habilitar o suporte para vários ACS. URLs Enquanto isso, você pode usar regiões adicionais como backup para acesso a. Contas da AWS

Se ocorrer uma interrupção do serviço do IAM Identity Center na região principal, você deverá atualizar o URL do ACS no IdP externo com o URL do ACS de uma região adicional. Após essa atualização, seus usuários podem acessar o portal de AWS acesso na região adicional usando o aplicativo IAM Identity Center existente no portal externo do IdP ou por meio de um link direto que você compartilha com eles.

Recomendamos que você teste essa configuração periodicamente para garantir que ela funcione quando necessário e comunique esse processo de failover à sua organização.

nota

Quando você usa uma região adicional para acessar Contas da AWS nessa configuração, seus usuários talvez não consigam acessar aplicativos AWS gerenciados conectados à região principal. Portanto, recomendamos isso apenas como uma medida temporária para manter o acesso Contas da AWS a.