AWS Identity Store API接受ARN：请求可少做一次拆分，响应仍返回资源ID

2026年9月30日，AWS宣布Identity Store API原先接受资源ID的请求字段，也可接受用户、组、成员关系或身份存储的ARN。旧ID调用继续有效，响应仍返回ID；格式错误或资源类型不符会返回ValidationException。能力覆盖IAM Identity Center已有区域，不另收费。

AI概念配图，非真实界面/产品。

接口边界少一次转换

本文认为，更新主要帮助已经从上游拿到完整资源标识的集成程序。过去需要先把较长标识拆成短ID，再交给下一个接口；如今部分适配逻辑可以简化。这里的实际价值是减少一处数据转换，不应据此推断身份同步策略或用户权限发生了变化。

以内部账号盘点程序为例，输入记录可能来自多个系统，其中有的保存完整标识，有的只保存短ID。开发者可以考虑让调用层接收两种形式，但应先定义内部数据模型。对外接口更宽容，并不代表数据库里可以任意混用两种写法而不加说明。

尤其要检查缓存和去重逻辑。如果一条用户记录先用短ID存入缓存，稍后又以完整标识进入，单纯按原字符串比较可能把它们当成两个人。这是本文给出的通用集成风险示例，不是AWS公告声称出现的产品缺陷。

响应契约比输入变化更容易被忽略

因为响应仍采用原来的资源ID，建议把请求与响应分别写入接口测试。输入完整标识后，断言返回的身份对象正确，而不是断言接口会原样返还输入字符串。测试代码若把两者混为一谈，可能把正常响应误报成兼容问题。

一组小而有效的样本可以包含合法ID、合法ARN、类型不匹配的ARN以及明显损坏的字符串。成功样本检查对象是否一致，失败样本检查程序是否给出可理解的错误。不要用捕获所有异常后返回空列表的方式掩盖输入问题。

修改时还应搜索日志、审计导出和报表是否依赖旧格式。若同一字段在部分页面显示完整标识、另一部分只显示短ID，可以在展示层保持一致，并保留足够上下文帮助定位。字段更长之后，复制、换行和表格截断也值得顺手检查。

小改动适合小范围落地

对于已经稳定运行且输入始终是短ID的程序，本次公告没有要求立即重写。更合适的切入点是当前确实存在解析代码、且解析结果经常跨服务传递的路径。删掉不再需要的转换前，应确认所有调用端都满足新的输入约定。

上线记录可以写清简化了哪一段转换、验证过哪些身份类型，以及缓存采用什么规范形式。这样以后排查权限问题时，团队能够把标识处理与授权判断分开检查。API支持更多输入形式，最值得换来的应是更少的歧义。

建议给同一身份的两种表示保留一组固定样本，今后修改调用层时再次验证，防止已删去的格式假设悄悄回到其他模块。

来源与核验

AWS官方更新：Identity Store ARN输入（2026-09-30）。

本文于北京时间2026年10月1日核验。新闻事实来自上述官方资料，文中使用判断与实施建议为本站独立分析，后续状态以官方更新为准。