Connecter votre IAM Identity Center

Conditions préalables

Vous devez disposer d'une instance d'IAM Identity Center (IdC) configurée dans votre compte AWS, avec les identités des utilisateurs que vous souhaitez abonner à Kiro.
Votre instance IAM Identity Center doit se trouver dans une région AWS prise en charge.
Autorisation d'administrateur à la fois dans AWS et dans le FI (si vous avez connecté IdC à un fournisseur externe).

Comment connecter IAM Identity Center

Activez AWS IAM Identity Center dans votre compte AWS. Ajoutez des utilisateurs à son répertoire, ou connectez-le à un fournisseur d'identité (FI) externe. Si c'est la première fois que vous configurez une instance IAM Identity Center, consultez Getting started with IAM Identity Center.

Chiffrement KMS

Si votre instance IAM Identity Center utilise une clé KMS gérée par le client pour le chiffrement, vous devez ajouter les énoncés suivants à votre politique de clé pour permettre à Kiro d'accéder aux données d'Identity Center.

Permettre à Kiro de déchiffrer les données via IAM Identity Center :

json

{
    "Sid": "Allow Kiro to use key via IDC",
    "Effect": "Allow",
    "Principal": { "Service": "q.amazonaws.com" },
    "Action": "kms:Decrypt",
    "Resource": "*",
    "Condition": {
        "StringEquals": {
            "kms:EncryptionContext:aws:sso:instance-arn": "arn:aws:sso:::instance/<your-idc-instance-id>",
            "kms:ViaService": "sso.<identity-center-region>.amazonaws.com"
        }
    }
}

Permettre à Kiro de déchiffrer les données via Identity Store :

json

{
    "Sid": "Allow Kiro to use key via IdentityStore",
    "Effect": "Allow",
    "Principal": { "Service": "q.amazonaws.com" },
    "Action": "kms:Decrypt",
    "Resource": "*",
    "Condition": {
        "StringEquals": {
            "kms:EncryptionContext:aws:identitystore:identitystore-arn": "arn:aws:identitystore::<identity-center-account-id>:identitystore/<your-identity-store-id>",
            "kms:ViaService": "identitystore.<identity-center-region>.amazonaws.com"
        }
    }
}

Remplacez les paramètres fictifs comme suit :

<identity-center-account-id> — l'ID du compte AWS qui possède votre instance IAM Identity Center.
<your-idc-instance-id> — votre ID d'instance IAM Identity Center.
<your-identity-store-id> — votre ID d'Identity Store.
<identity-center-region> — la région AWS de votre instance IAM Identity Center.

Ces politiques peuvent être assouplies en utilisant StringLike avec des caractères génériques (*) au lieu de StringEquals. Pour plus de détails, consultez Advanced KMS key policy statements dans le guide de l'utilisateur d'IAM Identity Center.

Accès KMS pour les abonnements de groupe

Si vous utilisez des abonnements basés sur des groupes, vous devez également accorder au rôle liée à un service AWSServiceRoleForUserSubscriptions l'autorisation d'utiliser votre clé. Kiro utilise ce rôle pour résoudre les appartenances aux groupes IAM Identity Center et maintenir actifs les abonnements de groupe. Si le rôle ne peut pas déchiffrer la clé, les appartenances aux groupes ne peuvent pas être résolues et les abonnements de groupe ne resteront pas actifs.

Ajoutez l'énoncé suivant à votre politique de clé :

json

{
    "Sid": "Allow User Subscriptions SLR to use key",
    "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam::<kiro-profile-account-id>:role/aws-service-role/user-subscriptions.amazonaws.com/AWSServiceRoleForUserSubscriptions"
    },
    "Action": [
        "kms:Decrypt",
        "kms:DescribeKey"
    ],
    "Resource": "*",
    "Condition": {
        "StringEquals": {
            "kms:ViaService": [
                "sso.<identity-center-region>.amazonaws.com",
                "identitystore.<identity-center-region>.amazonaws.com"
            ]
        }
    }
}

La condition kms:ViaService doit inclure à la fois sso.<identity-center-region>.amazonaws.com et identitystore.<identity-center-region>.amazonaws.com.

Remplacez les paramètres fictifs comme suit :

<kiro-profile-account-id> — l'ID du compte AWS qui possède le profil Kiro (le compte où le profil a été créé). Ce n'est pas nécessairement le compte qui possède la clé KMS ou l'instance IAM Identity Center.
<identity-center-region> — la région AWS de votre instance IAM Identity Center.

Page mise à jour : 11 août 2026

Connexion de votre fournisseur d'identité

Okta

Conditions préalables

Vous devez disposer d'une instance d'IAM Identity Center (IdC) configurée dans votre compte AWS, avec les identités des utilisateurs que vous souhaitez abonner à Kiro.
Votre instance IAM Identity Center doit se trouver dans une région AWS prise en charge.
Autorisation d'administrateur à la fois dans AWS et dans le FI (si vous avez connecté IdC à un fournisseur externe).

Comment connecter IAM Identity Center

Chiffrement KMS

Permettre à Kiro de déchiffrer les données via IAM Identity Center :

json

{
    "Sid": "Allow Kiro to use key via IDC",
    "Effect": "Allow",
    "Principal": { "Service": "q.amazonaws.com" },
    "Action": "kms:Decrypt",
    "Resource": "*",
    "Condition": {
        "StringEquals": {
            "kms:EncryptionContext:aws:sso:instance-arn": "arn:aws:sso:::instance/<your-idc-instance-id>",
            "kms:ViaService": "sso.<identity-center-region>.amazonaws.com"
        }
    }
}

Permettre à Kiro de déchiffrer les données via Identity Store :

json

{
    "Sid": "Allow Kiro to use key via IdentityStore",
    "Effect": "Allow",
    "Principal": { "Service": "q.amazonaws.com" },
    "Action": "kms:Decrypt",
    "Resource": "*",
    "Condition": {
        "StringEquals": {
            "kms:EncryptionContext:aws:identitystore:identitystore-arn": "arn:aws:identitystore::<identity-center-account-id>:identitystore/<your-identity-store-id>",
            "kms:ViaService": "identitystore.<identity-center-region>.amazonaws.com"
        }
    }
}

Remplacez les paramètres fictifs comme suit :

<identity-center-account-id> — l'ID du compte AWS qui possède votre instance IAM Identity Center.
<your-idc-instance-id> — votre ID d'instance IAM Identity Center.
<your-identity-store-id> — votre ID d'Identity Store.
<identity-center-region> — la région AWS de votre instance IAM Identity Center.

Accès KMS pour les abonnements de groupe

Ajoutez l'énoncé suivant à votre politique de clé :

json

{
    "Sid": "Allow User Subscriptions SLR to use key",
    "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam::<kiro-profile-account-id>:role/aws-service-role/user-subscriptions.amazonaws.com/AWSServiceRoleForUserSubscriptions"
    },
    "Action": [
        "kms:Decrypt",
        "kms:DescribeKey"
    ],
    "Resource": "*",
    "Condition": {
        "StringEquals": {
            "kms:ViaService": [
                "sso.<identity-center-region>.amazonaws.com",
                "identitystore.<identity-center-region>.amazonaws.com"
            ]
        }
    }
}

La condition kms:ViaService doit inclure à la fois sso.<identity-center-region>.amazonaws.com et identitystore.<identity-center-region>.amazonaws.com.

Remplacez les paramètres fictifs comme suit :

<kiro-profile-account-id> — l'ID du compte AWS qui possède le profil Kiro (le compte où le profil a été créé). Ce n'est pas nécessairement le compte qui possède la clé KMS ou l'instance IAM Identity Center.
<identity-center-region> — la région AWS de votre instance IAM Identity Center.

Page mise à jour : 11 août 2026

Connexion de votre fournisseur d'identité

Okta