View a markdown version of this page

Acesso à força de trabalho por meio de uma região adicional - Centro de Identidade do AWS IAM
Sessões de usuário em várias Regiões da AWSAWS pontos finais do portal de acesso no primário e adicional Regiões da AWSEndpoints ACS no primário e adicional Regiões da AWSUtilizar AWS aplicativos gerenciados sem vários URLs ACS

As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Acesso à força de trabalho por meio de uma região adicional

Esta seção explica como sua força de trabalho pode acessar os Portal de acesso da AWS, Conta da AWS s e aplicativos quando você habilita o IAM Identity Center em várias regiões.

Portal de acesso da AWS Em uma região adicional exibe Conta da AWS os aplicativos aos quais sua força de trabalho tem acesso da mesma forma que na região primária. Sua força de trabalho pode entrar em uma região adicional por meio de um link direto para o endpoint do portal regional (por exemplo,https://ssoins-111111h2222j33pp.eu-west-1.portal.amazonaws.com) ou por meio de um aplicativo de favoritos que você configurou no IdP externo. Portal de acesso da AWS

Você pode usar o Portal de acesso da AWS endpoint em uma região adicional para autorizar o AWS CLI acesso às APIs como usuário do IAM Identity Center. Essa funcionalidade funciona da mesma forma que na região principal. No entanto, as autorizações da CLI não são replicadas nas regiões habilitadas. Portanto, você precisa autorizar a CLI em cada região individualmente.

Sessões de usuário em várias Regiões da AWS

O IAM Identity Center replica as sessões do usuário da região de origem para as outras regiões habilitadas. A revogação e a saída da sessão em uma região também são replicadas para as outras regiões.

Revogação de sessão pelos administradores do IAM Identity Center

Os administradores do IAM Identity Center podem revogar sessões de usuários em outras regiões. Como as sessões são replicadas entre regiões, em condições normais, basta revogar uma sessão em uma única região e permitir que o IAM Identity Center replique a alteração nas outras regiões habilitadas. Se a região principal do IAM Identity Center tiver uma interrupção, os administradores poderão realizar essa operação em outras regiões.

Portal de acesso da AWS endpoints no primário e adicional Regiões da AWS

Se você precisar pesquisar os URLs do portal de AWS acesso para as regiões habilitadas, siga estas etapas:

  1. Abra o console do IAM Identity Center.

  2. No painel de navegação, selecione Configurações.

  3. Escolha a guia Gerenciamento.

  4. Na seção Regiões do IAM Identity Center, escolha Exibir todos os URLs do portal de AWS acesso.

A tabela a seguir especifica os Portal de acesso da AWS endpoints nas regiões primária e adicional de uma instância do IAM Identity Center.

Portal de acesso da AWS endpoint Região principal Região adicional Padrão e exemplo de URL
IPv4 clássico (somente 1) Sim Não

Pattern: https://[Identity Store ID].awsapps.com/start

Exemplo: https://d-12345678.awsapps.com/start

Custom-alias IPv4 (somente 1) Sim (opcional) Não

Pattern: https://[custom alias].awsapps.com/start

Exemplo: https://mycompany.awsapps.com/start

IPv4 alternativo (somente 2) Sim Sim

Pattern: https://[Identity Center instance ID]. [Region].portal.amazonaws.com

Exemplo: https://ssoins-111111h2222j33pp.eu-west-1.portal.amazonaws.com

Dual-stack2 Sim Sim

Pattern: https://[Identity Center instance ID].portal. [Region].app.aws

Exemplo: https://ssoins-111111h2222j33pp.portal.eu-west-1.app.aws

1 Em regiões adicionais, o alias personalizado não é suportado e o domínio awsapps.com principal não está disponível.

2 Os endpoints alternativos somente IPv4 e de portal de pilha dupla não têm o final no URL. /start

Endpoints do Assertion Consumer Service (ACS) nos terminais primários e adicionais Regiões da AWS

Se você precisar pesquisar os URLs do ACS ou baixá-los como parte dos metadados do SAML, siga estas etapas:

  1. Abra o console do IAM Identity Center.

  2. No painel de navegação, selecione Configurações.

  3. Escolha a guia Origem da identidade.

  4. No menu suspenso Ações, escolha Gerenciar autenticação.

  5. A seção Metadados do provedor de serviços exibe o URL Portal de acesso da AWS e o ACS para cada região habilitada. IPv4-only e URLs de pilha dupla são exibidos em guias separadas. Se o seu IdP suportar o upload de um arquivo de metadados SAML, você pode escolher Baixar arquivo de metadados para baixar o arquivo de metadados SAML com todos os URLs do ACS. Se o seu IdP não suportar o upload de um arquivo de metadados, ou se você preferir adicionar URLs ACS individualmente, você pode copiar URLs individuais da tabela no console ou escolher Exibir URLs ACS e depois Copiar todos os URLs. Mantenha a URL do ACS que já está configurada para a região primária para garantir que o login único SAML iniciado pelo provedor de serviços a partir da região primária permaneça funcional.

A tabela a seguir especifica os endpoints do SAML Assertion Consumer Service (ACS) nas regiões primária e adicional de uma instância do IAM Identity Center:

Endpoint ACS Região principal Região adicional Padrão e exemplo de URL
Somente IPv4 Sim Sim

Pattern: https://[Region].signin.aws/platform/saml/acs/[Tenant ID]

Exemplo: https://us-west-2.signin.aws/platform/saml/acs/1111111111111111-aaee-ffff-dddd-11111111111

Somente IPv4 alternativo* Sim Não

Pattern: https://[Region] .signin.aws.amazon.com/platform/saml/acs/[Tenant ID]

Exemplo: https://us-west-2.signin.aws.amazon.com/platform/saml/acs/1111111111111111-aaee-ffff-dddd-11111111111

Dual-stack Sim Sim

Pattern: https://[Region].sso.signin.aws/platform/saml/acs/[Tenant ID]

Exemplo: https://us-west-2.sso.signin.aws/platform/saml/acs/1111111111111111-aaee-ffff-dddd-11111111111

* Para instâncias que foram habilitadas antes de fevereiro de 2026, mantenha esse endpoint porque o login único SAML iniciado pelo provedor de serviços na região primária o exige. O IAM Identity Center não usa esse endpoint para instâncias que foram habilitadas em fevereiro de 2026 ou mais tarde.

Utilizar AWS aplicativos gerenciados sem vários URLs ACS

Alguns provedores de identidade externos (IdPs) não oferecem suporte a vários URLs de serviço ao consumidor de asserção (ACS) em seu aplicativo IAM Identity Center. Vários URLs do ACS são um recurso de SAML necessário para o login direto em uma região específica em um centro de identidade IAM multirregional.

Por exemplo, se você iniciar um aplicativo AWS gerenciado por meio de um link de aplicativo, o sistema acionará o login por meio da região do centro de identidade do IAM conectada ao aplicativo. No entanto, se o URL do ACS dessa região não estiver configurado no IdP externo, o login falhará.

Para resolver esse problema, trabalhe com seu fornecedor de IdP para habilitar o suporte para vários URLs do ACS. Enquanto isso, você ainda pode usar aplicativos AWS gerenciados em regiões adicionais. Primeiro, faça login na região cujo URL do ACS está configurado no IdP externo (a região primária por padrão). Depois de ter uma sessão ativa no IAM Identity Center, você pode iniciar o aplicativo a partir do portal de AWS acesso em qualquer região habilitada ou por meio de um link de aplicativo.