AWS 身份联合是一项允许用户在 AWS 中使用外部身份验证服务进行身份验证的功能。通过与 AWS 组织结构一起使用，可以通过 SSO 为多个 AWS 账户提供用户访问控制。以下是一个使用 AWS 身份联合和 AWS 组织结构的示例：

1. 创建一个名为'test-aws-federation”（测试 AWS 联合）的 AWS SSO 实例

aws sso-admin create-instance --instance-name "test-aws-federation"

2. 创建 AWS 身份提供者并将其与 SSO 实例相关联

aws sso-admin create-identity-provider --instance-arn {SSOInstanceARN} --type SAML --name "Test SAML Provider" --idp-metadata "file://idp-metadata.xml" --tags Key=Test,Value=SSO

3. 创建 AWS 组织，并将账户添加到组织

aws organizations create-organization --feature-set ALL
aws organizations create-account --email example@test.com --account-name "Test Account" --iam-user-access-to-billing ALLOW --tags Key=Test,Value=Organization

4. 创建 AWS 组织单元（OU）

aws organizations create-organizational-unit --parent-id {ParentOUId} --name "Test OU"

5. 将账户添加到 OU 中

aws organizations move-account --source-parent-id {ParentOUId} --destination-parent-id {NewParentOUId} --account-id {AccountId}

6. 将身份提供者与 AWS 账户关联

aws organizations create-account-assignment --target-id {AccountId} --policy-id {ServiceControlPolicyId} --iam-user-access-to-billing ALLOW --roles "arn:aws:iam::{IAMAccount}:role/{RoleName}" --principal-type AWS_SSO --principal-id {SSOPrincipalId}