操作步骤

一、创建应用

1. 登录IDaaS管理控制台

2. 前往 应用-添加应用-应用市场，搜索到 AWS SSO 应用模板，点击 添加应用。

3. 确认应用名称，即可完成添加。

二、配置应用单点登录

1. 添加应用后，将自动跳转到应用单点登录配置页，您将在此处进行配置。

2. 输入AWS 配置信息（该信息在下文第三步中获取），并配置应用授权范围。

如果仅用于测试，建议 授权范围 选择 全员可访问 ，以便跳过为 IDaaS 账号分配权限的步骤。

3. 在 应用配置信息 中，复制 IdP 唯一标识、IdP SSO 地址 您将会在后续AWS的配置中使用到，下载 证书，保存到电脑中，此文件用于建立 AWS 对 IDaaS 的信任关系。

三、在 AWS 中配置用户 SSO

1. 登录AWS 控制台。

2. 在搜索栏中，输入 IAM ,选择 IAM Identity Center。

3. 在控制面板中，点击 转到设置。

4. 在设置页面中，选择身份源选项卡，点击 操作、更改身份源。

5. 将身份源修改为 外部身份提供方，点击 下一步。

6. 将步骤二复制 IdP 唯一标识、IdP SSO 地址 填写到 AWS 应用配置中，在 Idp证书 点击 选择文件，选择在步骤二中在 IDaaS 下载的 证书 上传，点击 下一步。

7. 审核并确认更改身份源。

四、尝试SSO

您已经可以开始AWS SSO。有如下两种发起模式。

1. IDP 发起

使用已拥有AWS SSO 应用权限的 IDaaS 账户，登录到 IDaaS 应用门户页，点击页面上的图标，即可发起单点登录，以联邦用户的身份登录至AWS。

2. SP 发起

在AWS IAM Identity Center 中获取 AWS 访问门户 URL。

使用匿名浏览器，AWS 访问门户 URL，如果您已登录 IDaaS 应用门户，则可以联邦用户的身份直接登录至AWS；您会被重定向到 阿里云IDaaS登录界面，在此界面输入您的账密信息，点击 登录，在 IDaaS 中完成登录后自动完成 AWS 的登录。