将用户访问权限分配给 AWS 账户 - AWS IAM Identity Center

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

将用户访问权限分配给 AWS 账户

使用以下过程为已连接目录中的用户和组分配单点登录访问权限，并使用权限集确定其访问级别。

要查看现有用户和组的访问权限，请参阅查看用户和组分配。

注意

为了简化访问权限的管理，建议您直接向组（而非各个用户）分配访问权限。通过组，您可以授予或拒绝用户组的权限，而不是必须为每个用户应用这些权限。如果用户移动到不同的组织，您只需将该用户移动到不同的组，他们会自动接收新组织所需的权限。

为用户或组分配访问权限 AWS 账户

  1. 打开IAM身份中心控制台。

    注意

    在进入下一步之前，请确保 Ident IAM ity Center 控制台使用的是您的 AWS Managed Microsoft AD 目录所在的区域。

  2. 在导航窗格中的多帐户权限下，选择 AWS 账户。

  3. 在 AWS 账户 页面上，将显示您的组织的树视图列表。选中您要为其分配单点登录访问权限的一个或多个 AWS 账户 旁边的复选框。

    注意

    向用户和群组分配单点登录访问权限时，每个权限集一次最多可以选择 10 AWS 账户 个。要向同一组用户和组分配 10 个 AWS 账户 以上的用户，请根据需要为其他帐户重复此过程。出现提示时，选择相同的用户、组和权限集。

  4. 选择分配用户或组。

  5. 对于 “步骤 1：选择用户和组”，在 “将用户和组分配给AWS-account-name” 页面上，执行以下操作：

    1. 在用户选项卡上，选择一个或多个要向其授予单点登录访问权限的用户。

      要筛选结果，请开始在搜索框中键入所需用户的名称。

    2. 在组选项卡上，选择一个或多个要向其授予单点登录访问权限的组。

      要筛选结果，请开始在搜索框中键入所需组的名称。

    3. 要显示您选择的用户和组，请选择选定的用户和组旁边的横向三角形。

    4. 确认选择了正确的用户和组后，选择下一步。

  6. 对于 “步骤 2：选择权限集”，在 “将权限集分配给AWS-account-name” 页面上，执行以下操作：

    1. 选择一个或多个权限集。如有需要，您可以创建和选择新的权限集。

      • 要选择一个或多个现有权限集，请在权限集下，选择要应用于在上一步中选择的用户和组的权限集。

      • 要创建一个或多个新权限集，请选择创建权限集，然后按照 创建权限集 中的步骤操作。创建要应用的权限集后，在 Ident IAM ity Center 控制台中，返回AWS 账户并按照说明进行操作，直到进入步骤 2：选择权限集。完成此步骤后，选择您创建的新权限集，然后继续执行此过程的下一步。

    2. 确认选择了正确的权限集后，选择下一步。

  7. 对于步骤 3：审阅并提交，在 “查看并提交作业AWS-account-name” 页面上，执行以下操作：

    1. 查看选定的用户、组和权限集。

    2. 确认选择了正确的用户、组和权限集之后，选择提交。

      重要

      用户和组的分配过程可能需要几分钟才能完成。等到此过程成功完成再关闭该页面。

      注意

      您可能需要向用户或群组授予使用 AWS Organizations 管理账户进行操作的权限。由于它是高权限帐户，因此其他安全限制要求您拥有IAMFullAccess策略或同等权限才能进行设置。您 AWS 组织中的任何成员账户都不需要这些额外的安全限制。