会话和访问权限控制

了解会话

通过账户访问权限管理器中的分配访问 AWS 账户的用户会启动以下会话类型：

1. IAM 角色会话 – 用户代入的 IAM 角色是访问 AWS 资源的临时凭证，默认持续时间为 1 小时。

2. 账户访问门户会话 – 用户在使用账户访问门户时启动此会话。此会话由 IAM Identity Center 作为应用程序会话进行管理。

3. AWS 访问门户会话（也称为用户交互会话） – 此会话由 IAM Identity Center 管理。

4. 外部身份源（IdP 或 Microsoft AD）会话 – 当 IAM Identity Center 实例连接到外部身份源进行身份验证时，此会话适用。

有关 IAM Identity Center 中用户交互会话和应用程序会话（包括会话持续时间）的更多信息，请参阅《AWS IAM Identity Center 用户指南》中的了解 IAM Identity Center 中的身份验证会话。

重要

无论 IAM 角色中设置的最大会话持续时间为多少、账户访问门户和 AWS 访问门户中的会话状态如何，账户访问权限管理器分配的 IAM 角色会话均按照 1 小时的默认会话持续时间运行。

撤销用户访问权限

要撤销通过账户访问权限管理员角色分配获得的用户访问权限，请参阅《AWS IAM Identity Center 用户指南》中的撤销用户访问权限。

基于属性的访问控制

您可以配置身份提供者（IdP）以将属性作为会话标签发送，方法是通过在 SAML 断言中将属性设置为 https://aws.amazon.com/SAML/Attributes/AccessControl:TagKey，其中 TagKey 是要填充的会话标签。IAM Identity Center 会传递来自 IdP 的属性名称和值以进行策略评估。