先决条件

创建策略

1. 登录 IAM 控制台。

2. 在访问管理下，选择策略。

3. 选择创建策略，选择 JSON，然后添加以下策略：

   JSON

   {
       "Version":"2012-10-17",
       "Statement": [
           {
               "Sid": "CreatePartnerCentralRoles",
               "Effect": "Allow",
               "Action": [
                   "iam:CreateRole"
               ],
               "Resource": [
                   "arn:aws:iam::*:role/PartnerCentralRoleForCloudAdmin*",
                   "arn:aws:iam::*:role/PartnerCentralRoleForAce*",
                   "arn:aws:iam::*:role/PartnerCentralRoleForAlliance*"
               ]
           },
           {
               "Sid": "AttachPolicyToPartnerCentralCloudAdminRole",
               "Effect": "Allow",
               "Action": "iam:AttachRolePolicy",
               "Resource": "arn:aws:iam::*:role/PartnerCentralRoleForCloudAdmin*",
               "Condition": {
                   "ArnLike": {
                       "iam:PolicyARN": [
                           "arn:aws:iam::*:policy/PartnerCentralAccountManagementUserRoleAssociation",
                           "arn:aws:iam::*:policy/AWSPartnerCentralFullAccess",
                           "arn:aws:iam::*:policy/AWSMarketplaceSellerFullAccess"
                       ]
                   }
               }
           },
           {
               "Sid": "AttachPolicyToPartnerCentralAceRole",
               "Effect": "Allow",
               "Action": [
                   "iam:AttachRolePolicy"
               ],
               "Resource": "arn:aws:iam::*:role/PartnerCentralRoleForAce*",
               "Condition": {
                   "ArnLike": {
                       "iam:PolicyARN": [
                           "arn:aws:iam::*:policy/AWSPartnerCentralOpportunityManagement",
                           "arn:aws:iam::*:policy/AWSMarketplaceSellerOfferManagement"
                       ]
                   }
               }
           },
           {
               "Sid": "AttachPolicyToPartnerCentralAllianceRole",
               "Effect": "Allow",
               "Action": [
                   "iam:AttachRolePolicy"
               ],
               "Resource": "arn:aws:iam::*:role/PartnerCentralRoleForAlliance*",
               "Condition": {
                   "ArnLike": {
                       "iam:PolicyARN": [
                           "arn:aws:iam::*:policy/AWSPartnerCentralFullAccess",
                           "arn:aws:iam::*:policy/AWSMarketplaceSellerFullAccess"
                       ]
                   }
               }
           },
           {
               "Sid": "AssociatePartnerAccount",
               "Effect": "Allow",
               "Action": [
                   "partnercentral-account-management:AssociatePartnerAccount"
               ],
               "Resource": "*"
           },
           {
               "Sid": "SellerRegistration",
               "Effect": "Allow",
               "Action": [
                   "aws-marketplace:ListChangeSets",
                   "aws-marketplace:DescribeChangeSet",
                   "aws-marketplace:StartChangeSet",
                   "aws-marketplace:ListEntities",
                   "aws-marketplace:DescribeEntity"
               ],
               "Resource": "*"
           }
       ]
   }
   

4. 选择下一步。

5. 在 “策略详细信息” 下的 “策略名称” 框中，输入策略的名称和可选描述。

6. 查看策略权限，根据需要添加标签，然后选择创建策略。

7. 将您的 IAM 用户或角色附加到策略。有关附加的信息，请参阅 IAM 用户指南中的添加 IAM 身份权限（控制台）。

1. 登录到 IAM Identity Center 控制台。

2. 在 “Multi-account 权限” 下，选择 “权限集”。

3. 选择创建权限集。

4. 在 “选择权限集类型” 页面的 “权限集类型” 下，选择 “自定义权限集”，然后选择 “下一步”。

5. 执行以下操作：

   1. 在 “指定策略和权限边界” 页面上，选择要应用于权限集的 IAM 策略类型。

      默认情况下，您可以向权限集添加最多 10 个 AWS 托管策略和客户托管策略的任意组合。IAM 设置了这个配额。要提高该权限，请在 Service Quotas 控制台中请求增加您要向其分配权限集的每个 AWS 账户中附加到 IAM 角色的 IAM 配额托管策略。

   2. 展开内联策略以添加自定义 JSON-formatted 策略文本。内联策略与现有的 IAM 资源不对应。要创建内联策略，请在提供的表单中输入自定义策略语言。IAM Identity Center 会将策略添加到它在您的成员帐户中创建的 IAM 资源中。有关更多信息，请参阅内联策略。

   3. 从AWS 合作伙伴中心复制并粘贴 JSON 政策以及 AWS 账户关联先决条件

6. 在指定权限集详细信息 页面中，请执行以下操作：

   1. 在权限集名称 下，键入一个名称以在 IAM Identity Center 中标识此权限集。您为此权限集指定的名称作为可用角色出现在 AWS 访问门户中。用户登录 AWS 访问门户，选择一个 AWS 帐户，然后选择角色。

   2. （可选）您也可以键入描述。描述仅显示在 IAM Identity Center 控制台中，不显示在 AWS 访问门户中。

   3. （可选）指定会话持续时间的值。该值确定用户在控制台注销其会话之前可以登录的时间长度。有关更多信息，请参阅为 AWS 账户设置会话持续时间。

   4. （可选）指定中继状态的值。此值在联合身份验证过程中用于重定向帐户中的用户。有关更多信息，请参阅设置中继状态以快速访问 AWS 管理控制台。

      注意

      中继状态必须使用 AWS 管理控制台 URL。例如：https://console.aws.amazon.com/ec2/

   5. 展开标签（可选），选择添加标签，然后为密钥和值（可选）指定值。

      有关标签的信息，请参阅标记 AWS IAM 身份中心资源。

   6. 选择下一步。

7. 在查看并创建页面上，查看您所做的选择，然后选择创建。

   默认情况下，当您创建权限集时，不会配置该权限集（用于任何 AWS 账户）。要在账户中配置权限集，您必须为 AWS 账户中的用户和群组分配 IAM Identity Center 访问权限，然后将该权限集应用于这些用户和群组。有关更多信息，请参阅 AWS IAM Identity Center 用户指南中的向 AWS 账户分配用户访问权限。