使用以下 AWS IAM Identity Center 命令将权限集作为代码进行管理 AWS CodePipeline

在克隆的存储库中，导航到 templates/permissionsets 文件夹，然后打开其中一个可用模板。

在 Name 参数中，输入权限集的名称。此值必须是唯一的，并且在部署后无法更改。

在 Description 参数中，简要描述权限集，例如其用例。

在 SessionDuration 参数中，指定用户可以登录 AWS 账户的时长。使用 ISO-8601 持续时间格式（维基百科），例如 PT4H 为 4 小时。如果未定义值，则 IAM Identity Center 中的默认值为 1 小时。

在 RelayState 参数中，指定能够快速访问最适合用户角色的控制台的 URL。

自定义权限集中的策略。以下所有参数均为可选参数，可在部署后进行修改。您必须至少使用其中一个参数才能在权限集中定义策略：

保存并关闭权限集模板。我们建议您使用与权限集名称相匹配的名称保存文件。

重复此过程以创建组织所需任意数量的权限集，并删除任何不需要的示例模板。

在克隆的存储库中，导航到 templates/assignments 文件夹，然后打开 iam-identitycenter-assigments.json。此文件描述了您希望如何将权限集分配给 AWS 账户 或 OUs。

在 SID 参数中，输入分配的标识符。此值必须是唯一的，并且在部署后无法修改。

在 Target 参数中，定义要在其中应用权限集的账户或组织。有效值为账户 IDs OUs、或root。 root将权限集分配给组织中的所有成员帐户，不包括管理帐户。在双引号中输入值，并用逗号分隔多个值。账户 IDs 并 OUs 应遵循模式：{{account_name}}:{{account_id}}或{{ou_name}}:{{ou_id}}。如果要以递归方式为嵌套分配权限 OUs，请使用末尾带有通配符的 OU 模式。示例：{{ou_name}}:{{ou_id}}:*

在 PrincipalType 参数中，输入将受权限集影响的 IAM Identity Center 主体的类型。有效值为 USER或 GROUP。部署后无法修改此值。

在 PrincipalID 参数中，输入 IAM Identity Center 身份存储中将受权限集影响的用户或组的名称。部署后无法修改此值。

在 PermissionSetName 参数中，输入要分配的权限集的名称。

重复步骤 2-6 在此文件中创建所需数量的分配。通常情况下，每个权限集都有一个分配。删除所有不需要的示例作业。

保存并关闭 iam-identitycenter-assigments.json文件。

在 IAM Identity Center 委派管理员账户中，打开 CloudFormation 控制台。

部署 iam-identitycenter-pipeline.yaml 模板。为堆栈指定一个清晰且具有描述性的名称，并按照指示更新参数。有关说明，请参阅 CloudFormation 文档中的创建堆栈。

登录组织的管理账户。

打开 AWS CloudFormation 控制台。

在导航栏中，选择当前显示的名称 AWS 区域。选择 us-east-1 区域。该区域是必需的，这样MoveAccount EventBridge 规则才能检测到与组织变更相关 AWS CloudTrail 的事件。

部署 iam-identitycenter-organization 模板。为堆栈指定一个清晰且具有描述性的名称，并按照指示更新参数。有关说明，请参阅 CloudFormation 文档中的创建堆栈。