Appearance
为团队开通 Kiro Enterprise 前，管理员先准备 AWS account、Kiro 管理权限、IAM Identity Center 或外部 IdP，并在支持 Region 创建 Kiro profile。随后在 Users & Groups 页面选择 tier，给用户或 group 分配 subscription。
Kiro CLI Enterprise 订阅团队：快速完成企业席位开通
给团队开通 Kiro Enterprise，核心不是让每个开发者自己注册，而是由管理员在 AWS 里统一创建 Kiro profile，再把来自 IAM Identity Center、Okta 或 Microsoft Entra ID 的用户和用户组订阅到合适的 tier。这样做可以统一身份、权限和成本管理。
开始前需要准备什么
在进入 Kiro console 之前，先确认以下前置条件已经满足。
AWS account
你需要一个可用的 AWS account。如果还没有账号，可以参考 AWS 文档中的 创建 AWS account。
管理员 IAM 权限
作为 Kiro admin，你需要能够访问 Kiro console，并具备订阅和管理用户的权限。最低权限可参考 允许管理员配置 Kiro 和订阅用户的 IAM policy。
企业里建议把 Kiro 管理权限授予平台工程、研发效能或云平台团队，而不是分散给每个业务团队自行配置。
身份源和用户组
Kiro 需要从身份源读取要订阅的用户或 group。你可以使用：
- AWS IAM Identity Center；
- Okta；
- Microsoft Entra ID；
- 或者连接到 IAM Identity Center 的外部 IdP。
如果企业已经使用 AWS Organizations，建议在 IAM Identity Center 中使用 organization instance。它可以跨多个 AWS accounts 做集中身份管理。需要注意的是，individual account instance 不能直接升级为 organization instance；如果选错，后续通常需要删除并重新创建。
用户和 group
准备好要订阅 Kiro 的用户或 group。它们可以来自身份提供方的内置目录，也可以来自已经连接到 IAM Identity Center 的外部 IdP。
实际管理中，优先按 group 订阅通常更稳妥。例如为“前端平台组”“后端核心组”“AI 试点组”分别配置订阅，而不是逐个用户手工维护。
第一步：创建 Kiro profile
Kiro profile 是企业订阅和数据存储的基础。创建时要特别注意 Region，因为它会影响 profile 所在位置和用户数据存储位置。
- 登录 AWS Management Console。
- 切换到 Kiro console。
- 选择你希望创建 Kiro profile 的 supported AWS Region。
- 点击 Sign up for Kiro。
- 在 Create Kiro profile 对话框中确认内容，然后选择 Enable。
- 如有需要，进入 Settings 页面修改 profile 名称或描述。
创建完成后，后续订阅用户时需要回到同一个 Region。很多“看不到 Kiro profile”或“找不到 subscription”的问题，本质上都是控制台 Region 选错。
第二步：为团队分配 subscription
Kiro profile 创建好之后，就可以把用户或 group 订阅到具体 tier。
- 确认当前仍在 Kiro console。
- 确认 AWS console 顶部 Region 是创建 Kiro profile 的 Region。
- 进入 Users & Groups 页面。
- 根据管理方式选择 Users 或 Groups tab。
- 点击 Add user 或 Add group。
- 在弹窗中选择 Kiro subscription tier，例如 Pro、Pro+ 或 Power。
- 点击 Continue。
- 在搜索框中查找要订阅的 user 或 group，也可以从下拉列表中选择。
- 选中目标后点击 Assign。
完成后，用户或 group 就会获得对应 tier 的 Kiro subscription。后续如果要升级、降级或取消订阅，可以在 subscription management 中处理。
选择 user 还是 group
小团队或试点阶段可以直接给 user 分配 subscription，方便快速验证。但进入正式推广阶段后，更推荐按 group 管理：
| 方式 | 适合场景 | 注意点 |
|---|---|---|
| User subscription | 小规模试点、临时授权、单人验证 | 人员变动时需要逐个维护。 |
| Group subscription | 团队级推广、按部门或项目管理 | 要确保 IdP 中的 group 成员维护准确。 |
如果企业已经通过 SCIM 或其他同步机制维护 IdP 组成员，按 group 分配会明显降低管理成本。
常见问题
Kiro profile 应该建在哪个 Region？
应选择 Kiro console 和 Kiro profile 支持的 Region，并结合企业的数据存储、合规和团队所在地要求决定。支持列表可查看 supported regions 页面。
可以直接给外部 IdP 的 group 订阅吗？
可以，但前提是该外部 IdP 已连接到 IAM Identity Center，并且 Kiro 能从身份源中搜索到对应 group。
Pro、Pro+ 和 Power 应该怎么选？
建议先按团队角色和预计使用强度分层：轻量使用者用较低 tier，高频使用 agent、IDE 和 CLI 的核心开发者使用更高 tier，并通过 usage dashboard 或报表定期调整。