本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

# 撤銷許可集建立的作用中 IAM 角色工作階段
<a name="revoke-user-permissions"></a>

 以下是撤銷 IAM Identity Center 使用者作用中許可集工作階段的一般程序。此程序假設您想要移除已洩露登入資料之使用者或系統中不良演員的所有存取權。先決條件是遵循 中的指引[準備撤銷由許可集建立的作用中 IAM 角色工作階段](prereqs-revoking-user-permissions.md#prepare-to-revoke-session)。我們假設拒絕所有政策都存在於服務控制政策 (SCP) 中。

**注意**  
AWS 建議您建置自動化來處理僅限主控台操作以外的所有步驟。

1. **取得您必須撤銷其存取權之人員的使用者 ID。**您可以使用身分存放區 APIs 依使用者名稱尋找使用者。

1. **更新拒絕政策，從服務控制政策 (SCP) 中的步驟 1 新增使用者 ID。**完成此步驟後，目標使用者將失去存取權，且無法對政策影響的任何角色採取動作。

1. **移除使用者的所有許可集指派。**如果透過群組成員資格指派存取權，請從所有群組和所有直接許可集指派中移除使用者。此步驟可防止使用者擔任任何其他 IAM 角色。如果使用者有作用中的 AWS 存取入口網站工作階段，而且您停用該使用者，則他們可以繼續擔任新角色，直到您移除其存取權為止。

1. **如果您使用身分提供者 (IdP) 或 Microsoft Active Directory 做為身分來源，請停用身分來源中的使用者。 **停用使用者可防止建立其他 AWS 存取入口網站工作階段。使用您的 IdP 或 Microsoft Active Directory API 文件，了解如何自動化此步驟。如果您使用 IAM Identity Center 目錄做為身分來源，請勿停用使用者存取。您將在步驟 6 中停用使用者存取。

1.  **在 IAM Identity Center 主控台中，尋找使用者並刪除其作用中工作階段。**

   1. 選擇 **Users** (使用者)。

   1. 選擇您要刪除其作用中工作階段的使用者。

   1. 在使用者的詳細資訊頁面上，選擇**作用中工作階段**索引標籤。

   1. 選取您要刪除之工作階段旁的核取方塊，然後選擇**刪除工作階段**。

    刪除使用者工作階段後，使用者將立即失去 AWS 存取入口網站的存取權。了解[工作階段持續時間](authconcept.md)。

1. **在 IAM Identity Center 主控台中，停用使用者存取。 **

   1. 選擇 **Users** (使用者)。

   1. 選擇您要停用其存取權的使用者。

   1. 在使用者的詳細資訊頁面上，展開**一般資訊**，然後選擇**停用使用者存取**按鈕，以防止使用者進一步登入。

1. **將拒絕政策保留至少 12 小時。**否則，具有作用中 IAM 角色工作階段的使用者將還原具有 IAM 角色的動作。如果您等待 12 小時，作用中工作階段會過期，使用者將無法再次存取 IAM 角色。

**重要**  
如果您在停止使用者工作階段之前停用使用者的存取權 （您已完成步驟 6 但未完成步驟 5)，則無法再透過 IAM Identity Center 主控台停止使用者工作階段。如果您在停止使用者工作階段之前不小心停用使用者存取，您可以重新啟用使用者、停止其工作階段，然後再次停用其存取。

 如果使用者的密碼遭到入侵並[還原其指派](useraccess.md)，您現在可以變更使用者的登入資料。