AWS IAM Identity Center用户重命名CLI操作失败求助

问题原因 #

UserName是AWS IAM Identity Center（原AWS Single Sign-On）本地用户的不可修改属性，尽管describe-user接口能返回该字段，但update-user API从服务层面限制了对它的更新操作，这属于官方文档未明确标注的服务限制。

替代解决方案 #

由于无法直接修改现有用户的UserName，可通过以下方式实现需求：

针对本地创建的用户

1. 创建新用户：使用aws identitystore create-user命令创建带有目标用户名的新用户，示例命令：

   aws identitystore create-user --identity-store-id [id] --user-name "new-username" --display-name "原显示名" --emails '[{"Value":"user@example.com","Primary":true}]'
   

2. 迁移组关联：先查询旧用户所属的所有组：

   aws identitystore list-groups-for-user --identity-store-id [id] --user-id [旧uid]
   

   再将新用户添加到这些组中：

   aws identitystore create-group-membership --identity-store-id [id] --group-id [组ID] --member-id '{"UserId":"[新uid]"}'
   

3. 迁移权限分配：重新为新用户分配旧用户拥有的所有权限集（可在控制台或通过aws sso-admin相关命令操作）。
4. 清理旧用户：验证新用户正常使用后，删除旧用户：

   aws identitystore delete-user --identity-store-id [id] --user-id [旧uid]
   

针对外部IdP同步的用户

如果用户是从外部身份提供商（如AD、Okta）同步而来，需直接在IdP端修改用户名，等待IAM Identity Center自动完成同步，不可通过Identity Store API修改。

内容的提问来源于stack exchange，提问作者Robert Hunt