Configuration d'un fournisseur OIDC en tant qu'IdP de pool d'identités

OpenID Connect est une norme ouverte d'authentification que de nombreux fournisseurs de connexion prennent en charge. Amazon Cognito vous aide à lier des identités aux fournisseurs OpenID Connect que vous configurez via AWS Identity and Access Management.

Ajout d'un fournisseur OpenID Connect

Pour obtenir des informations sur la création d'un fournisseur OpenID Connect, consultez Création de fournisseurs d'identité OpenID Connect (OIDC) dans le Guide de l'utilisateur AWS Identity and Access Management .

Association d'un fournisseur à Amazon Cognito

Pour ajouter un fournisseur d'identité (IdP) OIDC

1. Choisissez Groupes d'identités dans la console Amazon Cognito. Sélectionnez une réserve d'identités.

2. Choisissez l'onglet Accès utilisateur.

3. Sélectionnez Ajouter un fournisseur d'identité.

4. Choisissez OpenID Connect (OIDC).

5. Choisissez un fournisseur d'identité OIDC parmi l'IAM IdPs de votre. Compte AWS Pour ajouter un nouveau fournisseur SAML, choisissez Créer un nouveau fournisseur afin d'accéder à la console IAM.

6. Pour définir le rôle demandé par Amazon Cognito lorsqu'il délivre des informations d'identification aux utilisateurs qui se sont authentifiés auprès de ce fournisseur, configurez Paramètres de rôle.

   1. Vous pouvez attribuer aux utilisateurs de ce fournisseur d'identité le rôle par défaut que vous avez configuré lorsque vous avez configuré votre rôle authentifié, ou vous pouvez sélectionner Choisir un rôle avec des règles.

      1. Si vous avez choisi Choisir un rôle avec des règles, saisissez la demande source issue de l'authentification de votre utilisateur, l'opérateur avec lequel vous souhaitez comparer ce champ standard, la valeur qui entraînera une correspondance avec ce choix de rôle et le rôle que vous souhaitez attribuer si l'attribution de rôle correspond. Sélectionnez Ajouter un autre pour créer une règle supplémentaire basée sur une condition différente.

      2. Choisissez une résolution de rôle. Lorsque les champs standard de votre utilisateur ne correspondent pas à vos règles, vous pouvez refuser les informations d'identification ou émettre des informations d'identification pour votre rôle authentifié.

7. Pour modifier les balises de principal qu'Amazon Cognito attribue lorsqu'il délivre des informations d'identification aux utilisateurs qui se sont authentifiés auprès de ce fournisseur, configurez Attributs de contrôle d'accès.

   1. Pour n'appliquer aucune balise de principal, choisissez Inactif.

   2. Pour appliquer les balises de principal en fonction des champs standard sub et aud, choisissez Utiliser les mappages par défaut.

   3. Pour créer votre propre schéma personnalisé d'attributs pour les balises de principal, choisissez Utiliser des mappages personnalisés. Saisissez ensuite une clé de balise que vous souhaitez obtenir à partir de chaque demande que vous souhaitez représenter dans une balise.

8. Sélectionnez Enregistrer les modifications.

Vous pouvez associer plusieurs fournisseurs OpenID Connect à un seul groupe d'identités.

Utilisation d'OpenID Connect

Reportez-vous à la documentation de votre fournisseur pour découvrir comment vous connecter et recevoir un jeton d'identification.

Une fois que vous avez un jeton, ajoutez-le au mappage des connexions. Utilisez l'URI de votre fournisseur comme clé.

Validation d'un jeton OpenID Connect

Lors de l'intégration initiale avec Amazon Cognito, vous pouvez recevoir une exception InvalidToken. Il est important de comprendre comment Amazon Cognito valide les jetons OpenID Connect (OIDC).

Note

Comme indiqué ici (https://tools.ietf.org/html/rfc7523), Amazon Cognito fournit une période de grâce de 5 minutes pour prendre en compte un éventuel décalage d'horloge entre systèmes.

1. Le paramètre iss doit correspondre à la clé utilisée dans le mappage des connexions (par exemple, login.provider.com).

2. La signature doit être valide. Elle doit être vérifiable via une clé publique RSA.

3. L'empreinte de la clé publique du certificat correspond à l'empreinte que vous avez définie dans IAM quand vous avez créé le fournisseur OIDC.

4. Si le paramètre azp est présent, vérifiez cette valeur par rapport aux ID client répertoriés dans le fournisseur OIDC.

5. Si le paramètre azp n'est pas présent, vérifiez le paramètre aud par rapport aux ID client répertoriés dans le fournisseur OIDC.

Le site web jwt.io est une ressource précieuse que vous pouvez utiliser pour décoder les jetons et vérifier ces valeurs.

Android

Map<String, String> logins = new HashMap<String, String>();
logins.put("login.provider.com", token);
credentialsProvider.setLogins(logins);

iOS : Objective-C

credentialsProvider.logins = @{ "login.provider.com": token }

iOS : Swift

Pour fournir le jeton d'identification OIDC à Amazon Cognito, implémentez le protocole AWSIdentityProviderManager.

Quand vous implémentez la méthode logins, renvoyez un dictionnaire contenant le nom du fournisseur OIDC que vous avez configuré. Ce dictionnaire fait office de clé et le jeton d'identification actuel de l'utilisateur authentifié fait office de valeur, comme dans l'exemple de code suivant.

class OIDCProvider: NSObject, AWSIdentityProviderManager {
    func logins() -> AWSTask<NSDictionary> {
        let completion = AWSTaskCompletionSource<NSString>()
        getToken(tokenCompletion: completion)
        return completion.task.continueOnSuccessWith { (task) -> AWSTask<NSDictionary>? in
            //login.provider.name is the name of the OIDC provider as setup in the Amazon Cognito console
            return AWSTask(result:["login.provider.name":task.result!])
        } as! AWSTask<NSDictionary>

    }

    func getToken(tokenCompletion: AWSTaskCompletionSource<NSString>) -> Void {
        //get a valid oidc token from your server, or if you have one that hasn't expired cached, return it

        //TODO code to get token from your server
        //...

        //if error getting token, set error appropriately
        tokenCompletion.set(error:NSError(domain: "OIDC Login", code: -1 , userInfo: ["Unable to get OIDC token" : "Details about your error"]))
        //else
        tokenCompletion.set(result:"result from server id token")
    }
}

Lorsque vous instanciez leAWSCognitoCredentialsProvider, transmettez la classe qui implémente AWSIdentityProviderManager comme valeur de identityProviderManager dans le constructeur. Pour plus d'informations, rendez-vous sur la page de AWSCognitoCredentialsProviderréférence et choisissez initWithRegionType : identityPoolId : identityProviderManager.

JavaScript

AWS.config.credentials = new AWS.CognitoIdentityCredentials({
 IdentityPoolId: 'IDENTITY_POOL_ID',
 Logins: {
    'login.provider.com': token
 }
});

Unity

credentials.AddLogin("login.provider.com", token);

Xamarin

credentials.AddLogin("login.provider.com", token);