企业使用多个 AWS 账号时，常面临账号分散、权限管理复杂等挑战。云身份管理功能支持将 AWS 账号及其 IAM 角色统一托管至 IDaaS，实现集中化的身份治理与访问控制。本文介绍如何托管云账号和云角色，完成云身份的统一管理配置。
适用范围
已开通机器身份管理能力。
已拥有待托管的 AWS 账号，且可访问该账号的 IAM 控制台。
添加云账号
添加云账号分为两步：先在 IDaaS 中填写 AWS 账号信息，再在 AWS IAM 控制台中完成系统角色配置。
登录 IDaaS 管理控制台，选择目标实例，在操作列单击访问控制台。
添加云账号信息。
a. 在左侧导航栏选择资产管理 > 资产管理 > 云身份。
b. 单击添加云账号。
c. 在云厂商中选择AWS，填写以下信息：
参数
说明
站点
根据 AWS 账号所属站点选择中国站或国际站。
账号ID
输入待添加的 AWS 主账号 ID，必须为 12 位数字。
d. 单击下一步。
统一身份配置。
说明系统角色用于自动发现和同步云角色、拉取托管容器资产信息以及验证身份提供商合规性。
参考界面提示，在目标 AWS 账号的 IAM 控制台完成以下配置：
配置身份提供者。
界面将显示以下参数，将其填入 AWS IAM 控制台对应的配置项中，创建 OIDC 身份提供者：
参数
说明
Provider URL
IDaaS 签发的身份提供者地址，可单击复制。
受众
受众标识，可单击复制。
详细操作可参考 AWS 文档"在 IAM 中创建 OpenID Connect（OIDC）身份提供者"。
新建角色。
在 AWS IAM 控制台创建角色：进入 IAM 控制台的角色创建页面。
进入 IAM 控制台的角色创建页面。
选择受信任实体类型。
填写角色名称为
idaas-eiam-system-role，可从界面复制。重要角色名称固定为
idaas-eiam-system-role，不可更改。详细操作可参考 AWS 文档"创建用于 OpenID Connect 联合身份验证（控制台）的角色"。
创建内联策略。
进入刚创建的角色，单击权限标签页 > 添加权限 > 创建内联策略，在策略编辑器中选择 JSON，将 IDaaS 界面中显示的内联策略脚本复制粘贴到编辑器中。
说明如果策略内容未加载，单击重新加载重新获取策略文档。
单击开始检测，IDaaS 将检测系统角色配置是否正确。
检测通过：显示成功提示，单击关闭完成云账号添加。
检测失败：显示错误原因，根据提示修改配置后单击重新检测。
如配置未完成但已退出上述界面，可在资产管理 > 资产管理 > 云身份界面中找到添加的云账号，单击操作列中的云角色管理，依次单击详情、配置系统角色，根据界面提示继续完成配置。
配置完成后，在资产管理 > 资产管理 > 云身份界面中可查看当前添加的云账号。在目标云账号的操作列下单击云角色管理，可查看系统角色。
添加云角色
将目标 AWS 账号下的 IAM 角色托管到 IDaaS。
在资产管理 > 资产管理 > 云身份界面选择已托管的云账号，单击操作列中的云角色管理。
说明若目标云账号尚未托管，需先完成添加云账号。
单击添加云角色。
a. 角色名称：在下拉列表中选择要托管至 IDaaS 的 IAM 角色。
b. 信任策略：按照界面提示，在该 AWS 账号的 IAM 控制台中完成信任策略配置。详细操作可参考 AWS 文档"创建用于 OpenID Connect 联合身份验证（控制台）的角色"或"更新角色信任策略"。
单击确定，完成云角色添加。
配置完成后，在资产管理 > 资产管理 > 云身份界面中可查看当前添加的云账号。在目标云账号的操作列下单击云角色管理，可查看当前添加的云角色。
为托管的 IAM 角色配置权限策略时，遵循最小权限原则，仅授予完成业务所必需的最小权限，避免使用 *:* 等过于宽泛的授权。
删除云角色
在资产管理 > 资产管理 > 云身份界面选择已托管的云账号，单击操作列中的云角色管理。
在云角色列表中找到目标云角色，单击云角色状态列下的开关按钮，禁用云角色。
重要禁用云角色将导致应用和用户无法使用对应角色，操作前请确认业务影响。
在云角色列表中找到目标云角色，单击操作列下的删除。
删除云账号
删除云账号前，需先删除该账号下所有用户创建的云角色。
在资产管理 > 资产管理 > 云身份界面中找到目标云账号，单击操作列中的删除。