动手实验 | 使用 AWS IAM Identity Center 创建跨 AWS 账户的用户并授权


  实验目标

测试用户通过一个界面登录多个AWS账户。
在 AWS 账户 A 中,使用 AWS IAM Identity Center 服务创建一个跨账户的用户 CrossUser,使得该用户具备登录一次,就可以有权限浏览 AWS 账户 B 和AWS 账户 C 中,各自账户内当前已经使用或者尚未使用的资源和服务的状况。

  作业步骤

本次采用AWS Console界面完成作业。
注意:根据项目的具体情况,可以采用不同的实施方法。比如使用命令行(CLI)部署、代码部署 (CloudFomation、Terraform等)、以及其它开发语言(SDK)完成作业。

步骤一:打开IAM Identity Center控制台
登录后 AWS 控制台后,在AWS Management Console主页上,找到并点击“IAM Identity Center”服务,进入IAM Identity Center控制台。

步骤二:创建用户和用户组
在IAM Identity Center控制台中,按照添加用户的步骤进行操作。指定用户详细信息,包括用户名、电子邮件地址等。可以选择发送一封包含密码设置说明的电子邮件(默认选项),或者生成一次性密码。如果选择发送电子邮件,要确保指定可以访问的电子邮件地址。

步骤三:创建权限集
可以选择预置的权限集,或者创建自定义的权限集

步骤四:为用户组设定权限
分别为AWS 账户 B 和AWS 账户 C 设定对应的权限集

步骤五:为用户设定权限
将新创建的用户添加到新创建的用户组中。

步骤六:用户接受邀请并设置密码
用户收到包含密码设置说明的电子邮件,需要打开此电子邮件并选择接受邀请。在新用户注册页面上,输入并确认新密码,完成密码设置。

  结果验证

1. 使用新创建的 AWS IAM Identity Center 用户和重新设定的新密码,登录 AWS 控制台。
2. 登陆后,确认可以看到不同的 AWS 账号组成的列表
3. 单击目标 AWS 账号,可以访问相应权限的服务和资源。