Ajouter et gérer des fournisseurs d'identité SAML dans un groupe d'utilisateurs - Amazon Cognito

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Ajouter et gérer des fournisseurs d'identité SAML dans un groupe d'utilisateurs

Les procédures suivantes montrent comment créer, modifier et supprimer des fournisseurs SAML dans un groupe d'utilisateurs Amazon Cognito.

AWS Management Console

Vous pouvez utiliser le AWS Management Console pour créer et supprimer des fournisseurs d'identité SAML (IdPs).

Avant de créer un IdP SAML, vous devez disposer du document de métadonnées SAML obtenu auprès de l'IdP tiers. Pour obtenir des instructions sur l'obtention ou la génération du document de métadonnées SAML requis, consultez Configuration de votre fournisseur d'identité SAML tiers.

Pour configurer un fournisseur d'identité SAML 2.0 dans votre groupe d'utilisateurs
  1. Accédez à la console Amazon Cognito. Si vous y êtes invité, saisissez vos informations d’identification AWS .

  2. Choisissez Groupes d’utilisateurs.

  3. Choisissez un groupe d’utilisateurs existant dans la liste ou créez un groupe d’utilisateurs.

  4. Choisissez l'onglet Expérience de connexion. Localisez Ouverture de session fédérée et choisissez Ajout d'un fournisseur d'identité.

  5. Choisissez un fournisseur d'identité SAML.

  6. Entrez le nom du fournisseur. Vous pouvez transmettre ce nom convivial dans un paramètre de identity_provider requête auPoint de terminaison d’autorisation.

  7. Saisissez Identifiants séparés par des virgules. Un identifiant indique à Amazon Cognito qu'il doit vérifier l'adresse électronique qu'un utilisateur saisit lorsqu'il se connecte, puis le redirige vers le fournisseur correspondant à son domaine.

  8. Choisissez Ajouter un flux de déconnexion si vous souhaitez qu'Amazon Cognito envoie des demandes de déconnexion signées à votre fournisseur lorsqu'un utilisateur se déconnecte. Vous devez configurer votre fournisseur d'identité SAML 2.0 afin qu'il envoie les réponses de déconnexion au point de terminaison https://mydomain.us-east-1.amazoncognito.com/saml2/logout créé lorsque vous configurez l'interface utilisateur hébergée. Ce point de terminaison saml2/logout utilise la liaison POST.

    Note

    Si cette option est sélectionnée et que votre IdP SAML attend une demande de déconnexion signée, vous devez également fournir à votre IdP SAML le certificat de signature de votre groupe d'utilisateurs.

    l'IdP SAML traite la demande de déconnexion signée et déconnecte votre utilisateur de la session Amazon Cognito.

  9. Choisissez la configuration de connexion SAML initiée par l'IdP. Pour des raisons de sécurité, choisissez Accepter uniquement les assertions SAML initiées par le SP. Si vous avez préparé votre environnement pour accepter en toute sécurité les sessions de connexion SAML non sollicitées, choisissez Accepter les assertions SAML initiées par le SP et par l'IdP. Pour de plus amples informations, veuillez consulter Lancement de séance SAML dans les groupes d'utilisateurs Amazon Cognito.

  10. Choisissez une Source du document de métadonnées. Si votre fournisseur d'identité propose des métadonnées SAML à une URL publique, vous pouvez choisir Metadata document URL (URL du document de métadonnées) et saisir cette URL publique. Sinon, choisissez Upload metadata documen (Charger un document de métadonnées) et sélectionnez un fichier de métadonnées que vous avez téléchargé depuis votre fournisseur précédemment.

    Note

    Nous vous recommandons de saisir l'URL d'un document de métadonnées si votre fournisseur dispose d'un point de terminaison public au lieu de télécharger un fichier. Amazon Cognito actualise automatiquement les métadonnées à partir de l'URL des métadonnées. En règle générale, l'actualisation des métadonnées a lieu toutes les 6 heures ou avant l'expiration des métadonnées, selon la première éventualité.

  11. Mappez les attributs entre votre fournisseur SAML et votre groupe d'utilisateurs pour mapper les attributs du fournisseur SAML au profil utilisateur de votre groupe d'utilisateurs. Incluez les attributs requis de votre groupe d'utilisateurs dans votre carte attributaire.

    Par exemple, lorsque vous choisissez l'attribut de groupe d'utilisateurs email, saisissez le nom de l'attribut SAML tel qu'il apparaît dans l'assertion SAML de votre fournisseur d'identité. Si votre fournisseur d'identité propose des exemples d'assertions SAML, vous pouvez les utiliser pour identifier le nom. Certains IdPs utilisent des noms simples, tels queemail, tandis que d'autres utilisent des noms tels que les suivants.

    http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress
  12. Choisissez Créer.

API/CLI

Utilisez les commandes suivantes pour créer et gérer un fournisseur d'identité SAML.

Pour créer un fournisseur d'identité et charger un document de métadonnées
  • AWS CLI: aws cognito-idp create-identity-provider

    Exemple avec fichier de métadonnées : aws cognito-idp create-identity-provider --user-pool-id us-east-1_EXAMPLE --provider-name=SAML_provider_1 --provider-type SAML --provider-details file:///details.json --attribute-mapping email=http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress

    details.json contient :

    "ProviderDetails": { "MetadataFile": "<SAML metadata XML>", "IDPSignout" : "true", "RequestSigningAlgorithm" : "rsa-sha256", "EncryptedResponses" : "true", "IDPInit" : "true" }
    Note

    S'il <SAML metadata XML>contient des instances du personnage", vous devez ajouter \ en tant que caractère d'échappement :\".

    Exemple avec URL de métadonnées : aws cognito-idp create-identity-provider --user-pool-id us-east-1_EXAMPLE --provider-name=SAML_provider_1 --provider-type SAML --provider-details MetadataURL=https://myidp.example.com/sso/saml/metadata --attribute-mapping email=http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress

  • AWS API : CreateIdentityProvider

Pour charger un nouveau document de métadonnées pour un fournisseur d'identité
  • AWS CLI: aws cognito-idp update-identity-provider

    Exemple avec fichier de métadonnées : aws cognito-idp update-identity-provider --user-pool-id us-east-1_EXAMPLE --provider-name=SAML_provider_1 --provider-details file:///details.json --attribute-mapping email=http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress

    details.json contient :

    "ProviderDetails": { "MetadataFile": "<SAML metadata XML>", "IDPSignout" : "true", "RequestSigningAlgorithm" : "rsa-sha256", "EncryptedResponses" : "true", "IDPInit" : "true" }
    Note

    S'il <SAML metadata XML>contient des instances du personnage", vous devez ajouter \ en tant que caractère d'échappement :\".

    Exemple avec URL de métadonnées : aws cognito-idp update-identity-provider --user-pool-id us-east-1_EXAMPLE --provider-name=SAML_provider_1 --provider-details MetadataURL=https://myidp.example.com/sso/saml/metadata --attribute-mapping email=http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress

  • AWS API : UpdateIdentityProvider

Pour obtenir des informations sur un fournisseur d'identité spécifique
  • AWS CLI: aws cognito-idp describe-identity-provider

    aws cognito-idp describe-identity-provider --user-pool-id us-east-1_EXAMPLE --provider-name=SAML_provider_1

  • AWS API : DescribeIdentityProvider

Pour répertorier les informations concernant tous IdPs
  • AWS CLI: aws cognito-idp list-identity-providers

    Exemple : aws cognito-idp list-identity-providers --user-pool-id us-east-1_EXAMPLE --max-results 3

  • AWS API : ListIdentityProviders

Pour supprimer un IdP
  • AWS CLI: aws cognito-idp delete-identity-provider

    aws cognito-idp delete-identity-provider --user-pool-id us-east-1_EXAMPLE --provider-name=SAML_provider_1

  • AWS API : DeleteIdentityProvider

Pour configurer le fournisseur d'identité SAML afin d'ajouter un groupe d'utilisateurs en tant que partie fiable
  • L'URN du fournisseur de services du groupe d'utilisateurs est : urn:amazon:cognito:sp:us-east-1_EXAMPLE. Amazon Cognito requiert une valeur de restriction d'audience correspondant à cet URN dans la réponse SAML. Configurez votre IdP pour utiliser le point de terminaison de liaison POST suivant pour le message de réponse IdP à SP.

    https://mydomain.us-east-1.amazoncognito.com/saml2/idpresponse
  • Votre IdP SAML doit NameID renseigner tous les attributs requis pour votre groupe d'utilisateurs dans l'assertion SAML. NameIDest utilisé pour identifier de manière unique votre utilisateur fédéré SAML dans le groupe d'utilisateurs. Votre IdP doit transmettre l'ID de nom SAML de chaque utilisateur dans un format cohérent et en distinguant majuscules et minuscules. Toute variation de la valeur du nom ID d'un utilisateur crée un nouveau profil utilisateur.

Pour fournir un certificat de signature à votre IDP SAML 2.0
  • Pour télécharger une copie de la clé publique depuis Amazon Cognito que votre IdP peut utiliser pour valider les demandes de déconnexion SAML, choisissez l'onglet Expérience de connexion de votre groupe d'utilisateurs, sélectionnez votre IdP, puis sous Afficher le certificat de signature, sélectionnez Télécharger au format .crt.

Vous pouvez supprimer n'importe quel fournisseur SAML que vous avez configuré dans votre groupe d'utilisateurs avec la console Amazon Cognito.

Pour supprimer un fournisseur SAML
  1. Connectez-vous à la console Amazon Cognito.

  2. Dans le volet de navigation, choisissez Groupes d'utilisateurs, puis choisissez le groupe d'utilisateurs que vous souhaitez modifier.

  3. Choisissez l'onglet Expérience de connexion et recherchez la connexion du fournisseur d'identité fédéré.

  4. Sélectionnez le bouton radio situé à côté du fichier SAML IdPs que vous souhaitez supprimer.

  5. Lorsque vous êtes invité à Supprimer un fournisseur d'identité, saisissez le nom du fournisseur SAML pour confirmer la suppression, puis choisissez Delete (Supprimer).