Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich. # Wissenswertes über SAML IdPs in Amazon Cognito-Benutzerpools Die Implementierung eines SAML 2.0-IdP ist mit einigen Anforderungen und Einschränkungen verbunden. Lesen Sie diesen Abschnitt, wenn Sie Ihren IdP implementieren. Außerdem finden Sie Informationen, die für die Behebung von Fehlern beim SAML-Verbund mit einem Benutzerpool hilfreich sind. **Amazon Cognito verarbeitet SAML-Assertionen für Sie** Amazon Cognito-Benutzerpools unterstützen den SAML 2.0-Verbund mit Endpunkten. POST-binding Auf diese Weise ist es nicht mehr notwendig, dass Ihre Anwendung SAML-Assertion-Rückmeldungen lädt oder analysiert, da der Benutzerpool die SAML-Rückmeldungen nun direkt von Ihrem IdP über einen Benutzeragenten erhält. Ihr Benutzerpool fungiert als Dienstanbieter (SP) im Namen Ihrer Anwendung. Amazon Cognito unterstützt SP-initiated IdP-initiated Single Sign-On (SSO), wie in den Abschnitten 5.1.2 und 5.1.4 der technischen Übersicht über SAML beschrieben. [ V2.0 ](http://docs.oasis-open.org/security/saml/Post2.0/sstc-saml-tech-overview-2.0-cd-02.html) **Stellen Sie ein gültiges IdP-Signaturzertifikat bereit** Das Signaturzertifikat in Ihren SAML-Anbieter-Metadaten darf nicht abgelaufen sein, wenn Sie den SAML-IdP in Ihrem Benutzerpool konfigurieren. **Benutzerpools unterstützen mehrere Signaturzertifikate** Wenn Ihr SAML-IdP mehr als ein Signaturzertifikat in SAML-Metadaten enthält, stellt Ihr Benutzerpool bei der Anmeldung fest, dass die SAML-Assertion gültig ist, sofern sie mit einem Zertifikat in den SAML-Metadaten übereinstimmt. Jedes Signaturzertifikat darf nicht länger als 4.096 Zeichen sein. **Behalten Sie den Relay-Status-Parameter bei** Amazon Cognito und Ihr SAML-IdP verwalten Sitzungsinformationen mit einem `relayState`-Parameter. 1. Amazon Cognito unterstützt `relayState`-Werte, die größer als 80 Byte sind. In SAML-Spezifikationen ist zwar angegeben, dass der Wert für `relayState` nicht größer als 80 Byte sein darf, aber in der Branche wird hiervon derzeit häufiger abgewichen. Die Folge ist, dass die Ablehnung von `relayState`-Werten mit mehr als 80 Byte dazu führt, dass für viele Standardintegrationen von SAML-Anbietern Fehler auftreten. 1. Das `relayState` Token ist ein undurchsichtiger Verweis auf Statusinformationen, die von Amazon Cognito verwaltet werden. Amazon Cognito übernimmt keine Garantie für den Inhalt des `relayState`-Parameters. Parsen Sie den Inhalt nicht so, dass Ihre App vom Ergebnis abhängig ist. Weitere Informationen finden Sie in der [Spezifikation zu SAML 2.0](http://docs.oasis-open.org/security/saml/Post2.0/sstc-saml-tech-overview-2.0.html). **Identifizieren Sie den ACS-Endpunkt** Ihr SAML-Identitätsanbieter verlangt, dass Sie einen Assertions-Verbraucher-Endpunkt festlegen. Ihr IdP leitet Ihre Benutzer mit ihrer SAML-Assertion an diesen Endpunkt weiter. Konfigurieren Sie den folgenden Endpunkt in Ihrer Benutzerpool-Domäne für SAML-2.0-POST-Binding Ihres SAML-Identitätsanbieters. ``` https://{{Your user pool domain}}/saml2/idpresponse With an Amazon Cognito domain: https://{{mydomain.auth.us-east-1.amazoncognito.com}}/saml2/idpresponse With a custom domain: https://{{auth.example.com}}/saml2/idpresponse ``` Weitere Informationen zum Erstellen von Benutzerpool-Domänen finden Sie unter [Konfigurieren einer Benutzerpool-Domäne](cognito-user-pools-assign-domain.md). **Keine wiederholten Assertionen** Sie können eine SAML-Assertion nicht wiederholen und nicht erneut an Ihren Amazon-Cognito-`saml2/idpresponse`-Endpunkt *wiedergeben*. Eine erneut wiedergegebene SAML-Zusicherung hat eine Assertion-ID, die die ID einer früheren IdP-Antwort dupliziert. **Die Benutzerpool-ID ist die SP-Entitäts-ID** Sie müssen Ihrem IdP Ihre Benutzerpool-ID im Service Provider (SP) angeben`urn`, die auch als * Zielgruppen-URI * oder * SP-Entitäts-ID * bezeichnet wird. Der Zielgruppen-URI für Ihren Benutzerpool hat das folgende Format. ``` urn:amazon:cognito:sp:{{us-east-1_EXAMPLE}} ``` Ihre Benutzerpool-ID finden Sie ** in der [ Amazon Cognito-Konsole unter Benutzerpool-Übersicht.](https://console.aws.amazon.com/cognito/home)** **Ordnen Sie alle erforderlichen Attribute zu** Konfigurieren Sie Ihren SAML-IdP so, dass dieser Werte für alle in Ihrem Benutzerpool erforderlichen Attribute bereitstellt. Beispielsweise ist `email` ein typisches erforderliches Attribut für Benutzerpools. Bevor sich Ihre Benutzer anmelden können, müssen Ihre SAML-IdP-Assertions einen Anspruch enthalten, den Sie dem **Benutzerpool-Attribut** `email` zuordnen. Weitere Informationen zu Attributzuordnung finden Sie unter [Zuordnung von IdP-Attributen zu Profilen und Tokens](cognito-user-pools-specifying-attribute-mapping.md). **Das Assertion-Format hat spezifische Anforderungen** Ihr SAML-IdP muss die folgenden Ansprüche in die SAML-Assertion aufnehmen. + `NameID`Ein Anspruch. Amazon Cognito verknüpft eine SAML-Assertion mit dem Zielbenutzer von. `NameID` Wenn `NameID` sich Änderungen ergeben, geht Amazon Cognito davon aus, dass die Assertion für einen neuen Benutzer gilt. Das Attribut, auf das Sie `NameID` in Ihrer IdP-Konfiguration gesetzt haben, muss einen dauerhaften Wert haben. Um SAML-Benutzer einem konsistenten Benutzerprofil in Ihrem Benutzerpool zuzuweisen, weisen Sie Ihren `NameID` Anspruch einem Attribut zu, dessen Wert sich nicht ändert. ``` carlos ``` Ein Wert von `Format` in Ihrem IdP `NameID` `urn:oasis:names:tc:SAML:1.1:nameid-format:persistent` bedeutet, dass Ihr IdP einen unveränderlichen Wert übergibt. Amazon Cognito benötigt diese Formatdeklaration nicht und weist das Format zu, `urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified` wenn Ihr IdP kein Format für den Anspruch festlegt. `NameID` Dieses Verhalten entspricht Abschnitt 2.2.2 * Complex Type NameIdType der SAML 2.0-Spezifikation*. [https://groups.oasis-open.org/higherlogic/ws/public/download/35711/sstc-saml-core-errata-2.0-wd-06-diff.pdf/latest](https://groups.oasis-open.org/higherlogic/ws/public/download/35711/sstc-saml-core-errata-2.0-wd-06-diff.pdf/latest) + Ein `AudienceRestriction`-Anspruch mit einem `Audience`-Wert, der die SP-Entitäts-ID Ihres Benutzerpools als Ziel der Antwort festlegt. ``` urn:amazon:cognito:sp:{{us-east-1_EXAMPLE}} ``` + Für SP-initiated Single Sign-On ein `Response` Element mit einem `InResponseTo` Wert der ursprünglichen SAML-Anforderungs-ID. ``` ``` **Anmerkung** IdP-initiated SAML-Assertionen dürfen * keinen * Wert enthalten. `InResponseTo` + Ein `SubjectConfirmationData` Element mit einem `Recipient` Wert Ihres `saml2/idpresponse` Benutzerpool-Endpunkts und, für SP-initiated SAML, einem `InResponseTo` Wert, der der ursprünglichen SAML-Anforderungs-ID entspricht. ``` ``` **SP-initiated Anmeldeanfragen** Wenn der [Autorisieren des Endpunkts](authorization-endpoint.md) Ihren Benutzer zur Anmeldeseite Ihres IDP umleitet, schließt Amazon Cognito eine *SAML-Anforderung* in einem URL-Parameter der `HTTP GET`-Anforderung ein. Eine SAML-Anfrage enthält Informationen über Ihren Benutzerpool, einschließlich Ihres ACS-Endpunkts. Sie können optional eine kryptografische Signatur auf diese Anfragen anwenden. **Signieren Sie Anfragen und verschlüsseln Sie Antworten** Jeder Benutzerpool mit einem SAML-Anbieter generiert ein asymmetrisches Schlüsselpaar und * ein Signaturzertifikat * für eine digitale Signatur, die Amazon Cognito SAML-Anfragen zuweist. Jeder externe SAML-IdP, den Sie für die Unterstützung verschlüsselter SAML-Antworten konfigurieren, veranlasst Amazon Cognito, ein neues Schlüsselpaar und ein neues Verschlüsselungszertifikat für diesen Anbieter zu generieren. * * Um die Zertifikate mit dem öffentlichen Schlüssel anzusehen und herunterzuladen, wählen Sie in der Amazon Cognito-Konsole im ** Menü ** Soziale und externe Anbieter Ihren IdP aus. Stellen Sie Ihrem IdP eine Kopie des SAML 2.0-Signaturzertifikats Ihres Benutzerpools zur Verfügung, um eine Vertrauensstellung bei SAML-Anfragen aus Ihrem Benutzerpool herzustellen. Ihr IdP ignoriert möglicherweise SAML-Anfragen, die Ihr Benutzerpool signiert hat, wenn Sie den IdP nicht so konfigurieren, dass er signierte Anfragen akzeptiert. 1. Amazon Cognito wendet eine digitale Signatur auf SAML-Anfragen an, die Ihr Benutzer an Ihren IdP weiterleitet. Ihr Benutzerpool signiert alle Single Logout (SLO) -Anfragen, und Sie können Ihren Benutzerpool so konfigurieren, dass Single Sign-On (SSO) -Anfragen für jeden externen SAML-IdP signiert werden. Wenn Sie eine Kopie des Zertifikats bereitstellen, kann Ihr IdP die Integrität der SAML-Anfragen Ihrer Benutzer überprüfen. 1. Ihr SAML-IdP kann SAML-Antworten mit dem Verschlüsselungszertifikat verschlüsseln. Wenn Sie einen IdP mit SAML-Verschlüsselung konfigurieren, darf Ihr IdP nur verschlüsselte Antworten senden. **Kodieren Sie nicht alphanumerische Zeichen** Amazon Cognito akzeptiert keine UTF-8 4-Byte-Zeichen wie 😐 oder𠮷, die Ihr IdP als Attributwert übergibt. Sie können das Zeichen mit Base64 codieren, um es als Text zu übergeben, und es dann in Ihrer App decodieren. Im folgenden Beispiel wird der Attributanspruch nicht akzeptiert: ``` 😐 ``` Im Gegenteil zum vorherigen Beispiel wird der Attributanspruch akzeptiert: ``` 8J+YkA== ``` **Der Metadaten-Endpunkt muss über eine gültige Transportschichtsicherheit verfügen** Wenn `InvalidParameterException` beim Erstellen eines SAML-IdP mit einer HTTPS-Metadatenendpunkt-URL beispielsweise die Meldung „Fehler beim Abrufen der Metadaten von“ angezeigt wird{{}}, stellen Sie sicher, dass SSL für den Metadaten-Endpunkt korrekt eingerichtet ist und dass ihm ein gültiges SSL-Zertifikat zugeordnet ist. Weitere Informationen zur Validierung von Zertifikaten finden Sie unter [ Was ist ein Zertifikat? SSL/TLS ](https://aws.amazon.com/what-is/ssl-certificate/). **Der Metadaten-Endpunkt muss sich auf dem Standard-TCP-Port für HTTP oder HTTPS befinden** Amazon Cognito akzeptiert nur Metadaten-URLs für SAML-Anbieter auf den Standard-TCP-Ports 80 für HTTP und 443 für HTTPS. Hosten Sie aus Sicherheitsgründen SAML-Metadaten unter einer TLS-encrypted URL mit dem Präfix. `https://` Geben Sie Metadaten-URLs im Format {{`http://www.example.com/saml2/metadata.xml`}} oder {{`https://www.example.com/saml2/metadata.xml`}} ein. Die Amazon Cognito-Konsole akzeptiert Metadaten-URLs nur mit dem `https://` Präfix. Sie können IdP-Metadaten auch mit [ CreateIdentityProvider ](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_CreateIdentityProvider.html) und konfigurieren. [ UpdateIdentityProvider ](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_UpdateIdentityProvider.html) **App-Clients mit IdP-initiated SAML können sich nur mit SAML anmelden** Wenn Sie die Unterstützung für einen SAML 2.0-IdP aktivieren, der die IdP-initiated Anmeldung in einem App-Client unterstützt, können Sie diesem App-Client nur weiteres SAML 2.0 IdPs hinzufügen. Sie werden daran gehindert, das Benutzerverzeichnis im Benutzerpool * und * alle externen Identitätsanbieter, die nicht SAML sind, einem auf diese Weise konfigurierten App-Client hinzuzufügen. **Abmeldeantworten müssen die POST-Bindung verwenden** Der `/saml2/logout` Endpunkt akzeptiert `LogoutResponse` als `HTTP POST` Anfragen. Benutzerpools akzeptieren keine `HTTP GET` verbindlichen Abmeldeantworten. **Signatur von Metadaten — Rotation des Zertifikats** Amazon Cognito speichert SAML-Metadaten bis zu sechs Stunden lang im Cache, wenn Sie Metadaten mit einer URL angeben. Wenn Sie eine Rotation von Zertifikaten für das Signieren von Metadaten durchführen, konfigurieren Sie Ihre Metadatenquelle so, dass * sowohl * das ursprüngliche als auch das neue Zertifikat mindestens sechs Stunden lang veröffentlicht werden. Wenn Amazon Cognito den Cache anhand der Metadaten-URL aktualisiert, behandelt es jedes Zertifikat als gültig und Ihr SAML-IdP kann beginnen, SAML-Assertionen mit dem neuen Zertifikat zu signieren. Nach Ablauf dieses Zeitraums können Sie das Originalzertifikat aus den veröffentlichten Metadaten entfernen.