Amazon STS 现在支持对 Amazon 身份进行跨分区联合身份验证

发布于: 2026年11月9日

Amazon Security Token Service（Amazon STS）现在允许工作负载使用其在某个分区中的 Amazon Identity and Access Management（IAM）身份来获取另一个分区中 IAM 角色的临时凭证，而无需存储长期凭证，这有助于改进安全态势。分区是指由亚马逊云科技区域组成的组，例如亚马逊云科技中国区域，每个分区都有一个独立的 IAM 实例，以此在各个分区之间形成硬性边界。以前，跨分区运行工作负载的组织通常依赖长期凭证，例如 IAM 用户访问密钥，这些凭证不会自动过期。

通过本次发布，您的工作负载将向自己的分区中的 Amazon STS 请求短期令牌，并使用现有的 GetWebIdentityToken 和 AssumeRoleWithWebIdentity API 来进行交换，以便获得另一个分区中的临时凭证。您可控制哪些身份可以访问各个角色，可在整个组织中实施监管，还可在 Amazon CloudTrail 中审计两个分区中的令牌使用情况。本次发布有助于应对统一的安全与合规报告以及集中式运维工具等场景。如果贵组织已运营公钥基础设施（PKI），那么 IAM Roles Anywhere 则是跨分区访问的另一种选择。

跨分区联合身份验证已在由光环新网运营的亚马逊云科技中国（北京）区域和由西云数据运营的亚马逊云科技中国（宁夏）区域免费推出。要了解更多信息，请参阅《IAM 用户指南》中的跨亚马逊分区进行亚马逊联合身份验证。