AWS SSO (IAM Identity Center)

A aba AWS SSO implementa o mesmo fluxo de autorização de dispositivo do OAuth 2.0 que o aws sso login. O DynamoOps se registra como cliente OIDC no IAM Identity Center, abre a página de verificação da AWS no seu navegador padrão e aguarda sua aprovação. Depois de aprovado, ele lista as contas e os permission sets aos quais você tem acesso, obtém credenciais de curta duração para a role escolhida e conecta. Nenhuma access key é usada em momento algum.

From ~/.aws/configchips

Um chip para cada perfil com SSO encontrado na sua configuração da AWS (perfis com sso_start_url ou um sso_session). Clicar em um chip preenche a URL inicial e as regiões e memoriza a conta e a role para pré-seleção.

SSO start URLurlobrigatório

Seu portal de acesso, por exemplo https://my-org.awsapps.com/start. O esquema é adicionado e as barras finais são removidas automaticamente.

SSO regionselectobrigatório

A região onde o IAM Identity Center está habilitado para a sua organização.

DynamoDB regionselectobrigatório

A região cujas tabelas você quer abrir depois de fazer login.

Environmenttoggle

None, Dev, QA, Staging ou Prod.

A última URL inicial, as regiões, a conta e a role usadas são memorizadas e preenchidas na próxima vez que você abrir a aba. Pressione 🌐 Sign in with AWS in browser (ou Enter no campo de URL) para continuar.

[profile prod-admin]
sso_session   = my-org
sso_account_id = 123456789012
sso_role_name = AdministratorAccess
region        = eu-west-1

[sso-session my-org]
sso_start_url = https://my-org.awsapps.com/start
sso_region    = us-east-1

1. Uma aba do navegador é aberta

   A página de verificação da AWS aparece com o código do dispositivo já preenchido. O DynamoOps mostra o mesmo código de confirmação na tela para que você possa compará-los.

2. Faça login e aprove

   Autentique-se no seu provedor de identidade, se solicitado, e aprove a solicitação para “DynamoOps”.

3. Volte para o app

   O DynamoOps consulta a AWS a cada poucos segundos e avança automaticamente. Use Open the page again se você fechou a aba, ou Cancel para voltar.

A solicitação continua válida por cerca de dez minutos. Se ela expirar, for negada ou se perder, você volta ao formulário com uma mensagem clara e pode tentar novamente.

Após a aprovação, o painel mostra “Signed in to <your portal host>” (conectado ao host do seu portal) e dois seletores.

• AWS account — todas as contas atribuídas ao seu usuário SSO, listadas como “Nome (id)” e ordenadas por nome.
• Role — os permission sets disponíveis na conta selecionada. Mudar a conta recarrega a lista.
• Save profile — opcionalmente, armazena esta URL inicial, conta e role com um nome para reconectar com um clique.

Clique em Connect. O DynamoOps obtém as credenciais da role, as valida com ListTablese mostra o toast “Signed in as <role> @ <account>”. O cabeçalho exibe um selo 🛡️ <role> sem contagem regressiva, porque a renovação é automática.

Dois links ajudam a gerenciar a sessão: ← Change start URL volta para a etapa 1 mantendo o token em cache, e Forget this SSO session apaga o token que o DynamoOps guardou em cache para aquele portal, de modo que o próximo login abra o navegador novamente. O cache do próprio AWS CLI nunca é alterado.

Quando o próprio token SSO expira, a renovação para e as chamadas seguintes à AWS falham. Volte para a tela de login e faça login novamente; seu perfil salvo vai pré-selecionar a conta e a role.