AWS IAM Identity Center
与 AWS Organizations 集成的单点登录 (SSO) 服务，统一管理对多个 AWS 账户和业务应用的访问
概述
AWS IAM Identity Center (原 AWS SSO) 是为多个 AWS 账户和业务应用提供单点登录的服务。通过权限集 (Permission Set) 对用户和组声明式定义各账户的权限，实现与 Organizations 组织结构联动的大规模访问管理。支持与 SAML 2.0 和 SCIM 兼容的外部 IdP (Okta、Azure AD、Google Workspace 等) 集成，利用现有身份基础设施实现联合认证。
权限集与多账户访问管理
权限集是 IAM Identity Center 的核心概念，定义用户在各 AWS 账户中拥有的权限。一个权限集对应一个 IAM 角色，分配给用户或组后在目标账户中自动创建角色。权限集可附加 AWS 托管策略、客户托管策略、内联策略等。例如定义「开发者」权限集 (附加 PowerUserAccess) 和「只读」权限集 (附加 ReadOnlyAccess)，将开发者组分配到开发账户的「开发者」权限集、生产账户的「只读」权限集，即可实现按环境的权限分离。权限集变更自动传播到所有分配的账户，无需逐账户修改。
外部 IdP 集成与用户生命周期管理
已使用 Okta、Microsoft Entra ID、Google Workspace 等身份提供商的企业，可将其作为身份源。IAM Identity Center 通过 SAML 2.0 联合实现 SSO，用户使用现有企业凭证登录 AWS。SCIM (System for Cross-domain Identity Management) 自动同步可将 IdP 的用户和组变更自动反映到 IAM Identity Center。员工入职时在 IdP 创建的用户会同步到 IAM Identity Center。据用户指南，在身份源中禁用用户后不会再创建新的登录会话，但已有的访问门户会话仍会保留，撤销访问还需删除权限集分配等步骤。不使用外部 IdP 时，使用 Identity Center 目录 (首次启用时的默认身份源)。
访问门户与临时凭证的安全性
用户通过 IAM Identity Center 的访问门户 (Web 界面) 查看可访问的账户和权限集列表，点击即可获取临时凭证登录管理控制台或获取 CLI 用凭证。临时凭证默认 1 小时过期 (最长可设为 12 小时，截至 2026 年 10 月)，无需管理长期访问密钥。AWS CLI v2 的 SSO 配置文件可通过 aws sso login 命令获取临时凭证，开发者无需在本地保存永久凭证。会话持续时间和 MFA 要求在 IAM Identity Center 设置中统一管理。
参考资料（AWS 官方）
本页的第一手信息来源是 AWS 官方网站及官方文档。最新的规格与价格请以下列官方页面为准。
如本页内容与官方文档不一致，请以官方文档为准。