为何AWS文档要求从管理账户创建IAM Identity Center实例却遭禁止？

你遇到的不是文档矛盾，而是IAM Identity Center的实例创建逻辑有明确的场景区分：

核心原因 #

CreateInstanceCommand这个API仅适用于未加入AWS组织的独立账户，用来创建独立的IAM Identity Center实例。而对于AWS组织的管理账户，AWS不允许通过该API创建实例，必须通过AWS控制台完成启用流程——这是因为组织关联的IAM Identity Center实例需要绑定整个组织的资源，控制台会自动处理实例创建、组织关联、权限配置等全流程，而API没有提供这些关联能力。

正确操作流程 #

要在组织管理账户中启用全功能的IAM Identity Center，必须通过控制台操作：

• 登录组织管理账户的AWS控制台，导航到IAM Identity Center服务
• 点击「启用」按钮，控制台会自动在组织的主区域创建实例，并完成与AWS组织的关联，自动启用组织范围内的SSO访问、权限集管理等全功能

代码层面的后续操作 #

启用实例后，你可以继续用SSO Admin SDK的其他API（比如CreatePermissionSet、CreateApplication等）来管理实例资源，此时调用ListInstancesCommand就能查询到已创建的实例ID，无需手动调用CreateInstanceCommand。

补充说明 #

如果需要自动化组织内的IAM Identity Center管理，可以：

• 先用控制台完成实例初始化
• 再用SDK调用EnableOrganizationAdminAccount（如果需要将组织内的其他账户设为IAM Identity Center管理账户）
• 后续的权限、应用等管理都可以通过API完成

内容的提问来源于stack exchange，提问作者zanerock