Considerazioni sulla durata della sessione per l'utilizzo delle fonti di identità, della AWS CLI e AWS SDKs

AWS Managed Microsoft AD: Se si utilizza configure AWS Managed Microsoft AD in AWS Directory Service, la durata massima dei ticket utente Kerberos è fissata a 10 ore. Pertanto, la durata della sessione interattiva dell'utente è impostata sull'impostazione più breve tra quelle dell'impostazione IAM Identity Center e su 10 ore. Ad esempio, se imposti la durata della sessione interattiva dell'utente su 12 ore, gli utenti devono autenticarsi nuovamente nel portale di AWS accesso dopo 10 ore. Lo stesso limite di 10 ore si applica alle sessioni prolungate per Kiro.

AD Connector: se si utilizza AD Connector configurato in AWS Directory Service, la durata massima per i ticket Kerberos utente è definita in Microsoft AD dietro AD Connector. Il valore predefinito è 10 ore e ha lo stesso effetto sulle sessioni interattive degli utenti e sulle sessioni estese. AWS Managed Microsoft AD Sebbene questo limite possa essere configurabile in Microsoft AD, si consiglia di collaborare con l'amministratore IT per valutare i rischi, soprattutto perché questa impostazione può influire sulla durata della sessione per altre applicazioni client Microsoft AD.

Se non SessionNotOnOrAfter viene passato in un'asserzione SAML, la durata di una sessione del portale di AWS accesso (interattiva per l'utente) e di una sessione estesa non è influenzata dalla durata della sessione IdP esterna. Ad esempio, se la durata della sessione IdP è di 24 ore e imposti una durata della sessione di 18 ore in IAM Identity Center, gli utenti devono autenticarsi nuovamente nel portale di accesso dopo 18 ore. AWS Allo stesso modo, se imposti una sessione estesa di 90 giorni per Kiro, gli utenti Kiro devono autenticarsi nuovamente dopo 90 giorni.

Se SessionNotOnOrAfter viene passato in un'asserzione SAML, il valore della durata della sessione viene impostato sul valore più breve tra la sessione del portale di AWS accesso (interattiva per l'utente) o la durata della sessione estesa e la durata della sessione IdP SAML. Se imposti una durata della sessione di 72 ore in IAM Identity Center e il tuo IdP ha una durata della sessione di 18 ore, i tuoi utenti avranno accesso alle AWS risorse per le 18 ore definite nel tuo IdP. Allo stesso modo, se imposti una sessione estesa di 90 giorni per Kiro, gli utenti Kiro devono autenticarsi nuovamente in Kiro dopo 18 ore.

Se la durata della sessione del tuo IdP è più lunga di quella impostata in IAM Identity Center, i tuoi utenti possono iniziare una nuova sessione di IAM Identity Center senza reinserire le proprie credenziali, in base alla sessione di accesso ancora valida con il tuo IdP.

È necessario configurare la durata della sessione del portale di AWS accesso nella console IAM Identity Center.

È necessario definire un profilo per le impostazioni Single Sign-On nel file di AWS configurazione condiviso. Questo profilo viene utilizzato per connettersi al portale di accesso. AWS Si consiglia di utilizzare la configurazione del provider di token SSO. Con questa configurazione, l' AWS SDK o lo strumento possono recuperare automaticamente i token di autenticazione aggiornati. Per ulteriori informazioni, consulta la configurazione del provider di token SSO nella Guida di riferimento per AWS SDK e strumenti.

Gli utenti devono eseguire una versione AWS CLI o un SDK che supporti la gestione delle sessioni.

AWS CLI V2 2.9 o versione successiva

AWS CLI V1 1.27.10 o versione successiva