Consideraciones sobre la duración de la sesión para usar fuentes de identidad, la AWS CLI y AWS SDKs

AWS Managed Microsoft AD: Si se utiliza AWS Managed Microsoft AD configurado en AWS Directory Service, la duración máxima de los tickets de Kerberos de usuario se fija en 10 horas. Por lo tanto, la duración de la sesión interactiva del usuario se establece en 10 horas o menos, entre la configuración del Centro de Identidad de IAM. Por ejemplo, si establece la duración de la sesión interactiva del usuario en 12 horas, los usuarios deberán volver a autenticarse en el portal de AWS acceso después de 10 horas. El mismo límite de 10 horas se aplica a las sesiones prolongadas de Kiro.

Conector AD: si utiliza un conector AD configurado en AWS Directory Service, la vida útil máxima de los tickets de Kerberos de los usuarios se define en Microsoft AD detrás del conector AD. El valor predeterminado es de 10 horas y tiene el mismo efecto en las sesiones interactivas y prolongadas de los usuarios que en las sesiones prolongadas. AWS Managed Microsoft AD Aunque este límite se puede configurar en Microsoft AD, le recomendamos que trabaje con su administrador de TI para tener en cuenta los riesgos, especialmente porque esta configuración puede afectar a la duración de la sesión de otras aplicaciones cliente de Microsoft AD.

Si no SessionNotOnOrAfter se incluye en una afirmación de SAML, la duración de una sesión del portal de AWS acceso (interactiva para el usuario) y de una sesión extendida no se ve afectada por la duración de la sesión de IdP externa. Por ejemplo, si la duración de su sesión de IdP es de 24 horas y ha establecido una duración de sesión de 18 horas en el Centro de identidad de IAM, sus usuarios deberán volver a autenticarse en el AWS portal de acceso después de 18 horas. Del mismo modo, si estableces una sesión prolongada de 90 días para Kiro, tus usuarios de Kiro deberán volver a autenticarse después de 90 días.

Si SessionNotOnOrAfter se incluye en una afirmación de SAML, el valor de duración de la sesión se establece en la duración más corta de la sesión del portal de AWS acceso (interactiva para el usuario) o de la sesión extendida y la duración de la sesión del IdP de SAML. Si establece una duración de sesión de 72 horas en el Centro de identidades de IAM y su IdP tiene una duración de sesión de 18 horas, sus usuarios tendrán acceso a los AWS recursos durante las 18 horas definidas en su IdP. Del mismo modo, si estableces una sesión prolongada de 90 días para Kiro, tus usuarios de Kiro deberán volver a autenticarse en Kiro al cabo de 18 horas.

Si la duración de la sesión de su IdP es superior a la establecida en IAM Identity Center, sus usuarios podrán iniciar una nueva sesión en IAM Identity Center sin tener que volver a introducir sus credenciales, en función de la sesión de inicio de sesión aún válida con su IdP.

Debe configurar la duración de la sesión del portal de AWS acceso en la consola de IAM Identity Center.

Debe definir un perfil para la configuración de inicio de sesión único en su archivo de configuración compartido AWS . Este perfil se utiliza para conectarse al portal de AWS acceso. Le recomendamos que utilice la configuración del proveedor de tokens de SSO. Con esta configuración, el AWS SDK o la herramienta pueden recuperar automáticamente los tokens de autenticación actualizados. Para obtener más información, consulte Configuración del proveedor de tokens de SSO en la Guía de referencia de los SDK y las herramientas de AWS .

Los usuarios deben ejecutar una versión del SDK AWS CLI o una versión que sea compatible con la administración de sesiones.

AWS CLI V2 2.9 o posterior

AWS CLI V1 1.27.10 o posterior