AWS IAM与AWS SSO差异及启用AWS SSO的核心技术疑问

背景 #

此前通过IAM用户分配AWS资源访问权限，近期创建了AWS Organization以分离Dev和Prod环境，目前需要为每个用户在Dev组织账户单独创建IAM用户才能实现跨环境资源访问（仅部分资源有条件访问）。计划基于SAML实现AWS SSO，了解到IAM Identity Center支持单用户访问多AWS组织账户，现针对AWS SSO有以下疑问及解答：

1. AWS SSO默认要求启用AWS Organization，这意味着什么？启用后无法创建新的子组织吗？（备注：创建组织后，该账户在删除现有组织前无法加入其他组织） #

• AWS IAM Identity Center依赖AWS Organization实现多账户的统一管控，启用Organization是为了让SSO能够识别并管理组织内的所有成员账户，从而实现跨账户的权限分配与访问控制。
• 启用Organization后可以创建子组织（OU，组织单元），比如将Dev、Prod账户分别归类到不同OU中做精细化管理；但作为当前组织的管理根账户，确实无法加入其他已存在的AWS Organization，必须先删除当前组织才能操作。

2. 配置AWS Organization与AWS SSO并更改身份源，将groups & users同步至根账户用于资源分配时，会删除现有IAM用户及角色吗？若不会，是否仍可使用IAM用户名和密码登录？ #

• 不会删除现有IAM用户和角色。AWS SSO的配置及身份源同步操作与原有IAM体系完全独立，两者可并行运行。
• 原有IAM用户依然可以使用自身的用户名和密码正常登录AWS控制台或调用API，不受SSO配置的影响。

3. 更改AWS SSO身份源时提示会删除MFA配置，该操作会删除根账户及IAM用户的MFA，还是仅删除AWS SSO内用户的MFA？（备注：IAM Identity Center将删除当前的多因素认证(MFA)配置） #

• 仅会删除AWS SSO内部用户的MFA配置，根账户和原有IAM用户的MFA设置不受任何影响，依然有效。该提示仅针对SSO体系内的用户认证配置，与传统IAM的MFA无关。

4. 为何无法从组织账户设置AWS SSO？是否有特定原因？ #

• AWS IAM Identity Center只能由AWS Organization的管理根账户启用和配置，成员账户无法单独设置SSO。这是因为SSO的核心定位是统一管控整个组织内的所有账户，必须由根账户统筹全局的身份与权限策略，避免分散管理带来的混乱和安全风险。

5. 我对AWS SSO（IAM Identity Center）的理解是否正确？ #

• 从你的描述来看，核心理解是准确的：AWS IAM Identity Center（原AWS SSO）支持单用户通过一套身份凭证访问AWS Organization内的多个成员账户，无需在每个账户单独创建IAM用户，还能基于组或用户分配精细化的跨账户权限，正好解决你当前Dev/Prod环境多账户访问的痛点。
• 补充：如果对接SAML身份源（如企业AD、Okta等），还能实现企业身份提供商的统一认证，进一步简化用户登录流程，同时保留AWS内部的权限管控能力。

内容的提问来源于stack exchange，提问作者S A R