Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.
SAMLpenandatanganan dan enkripsi
Amazon Cognito mendukung SAML permintaan yang ditandatangani dan SAML respons terenkripsi untuk masuk dan keluar. Semua operasi kriptografi selama SAML operasi kumpulan pengguna harus menghasilkan tanda tangan dan ciphertext dengan kunci yang dihasilkan user-pool-provided Amazon Cognito. Saat ini, Anda tidak dapat mengonfigurasi kumpulan pengguna untuk menandatangani permintaan atau menerima pernyataan terenkripsi dengan kunci eksternal.
catatan
Sertifikat kumpulan pengguna Anda berlaku selama 10 tahun. Sekali setahun, Amazon Cognito menghasilkan sertifikat penandatanganan dan enkripsi baru untuk kumpulan pengguna Anda. Amazon Cognito mengembalikan sertifikat terbaru saat Anda meminta sertifikat penandatanganan, dan menandatangani permintaan dengan sertifikat penandatanganan terbaru. IDP Anda dapat mengenkripsi SAML pernyataan dengan sertifikat enkripsi kumpulan pengguna yang tidak kedaluwarsa. Sertifikat Anda sebelumnya tetap berlaku selama durasi dan kunci publik tidak berubah di antara sertifikat. Sebagai praktik terbaik, perbarui sertifikat dalam konfigurasi penyedia Anda setiap tahun.
Menerima SAML tanggapan terenkripsi dari IDP Anda
Amazon Cognito dan IDP Anda dapat menetapkan kerahasiaan dalam SAML tanggapan saat pengguna masuk dan keluar. Amazon Cognito menetapkan RSA key pair public-private dan sertifikat ke SAML setiap penyedia eksternal yang Anda konfigurasikan di kumpulan pengguna. Saat mengaktifkan enkripsi respons untuk SAML penyedia kumpulan pengguna, Anda harus mengunggah sertifikat ke iDP yang mendukung respons terenkripsiSAML. Koneksi kumpulan pengguna Anda ke SAML IDP Anda tidak berfungsi sebelum IDP Anda mulai mengenkripsi semua SAML pernyataan dengan kunci yang disediakan.
Berikut ini adalah ikhtisar aliran masuk terenkripsi. SAML
-
Pengguna Anda mulai masuk dan memilih SAML IDP mereka.
-
Kumpulan pengguna Anda Otorisasi titik akhir mengarahkan pengguna Anda ke SAML IDP mereka dengan permintaan masuk. SAML Kumpulan pengguna Anda dapat secara opsional menyertai permintaan ini dengan tanda tangan yang memungkinkan verifikasi integritas oleh iDP. Ketika Anda ingin menandatangani SAML permintaan, Anda harus mengonfigurasi IDP Anda untuk menerima permintaan yang telah ditandatangani oleh kumpulan pengguna Anda dengan kunci publik dalam sertifikat penandatanganan.
-
SAMLIdP masuk ke pengguna Anda dan menghasilkan respons. SAML IDP mengenkripsi respons dengan kunci publik dan mengarahkan pengguna Anda ke titik akhir kumpulan pengguna Anda.
/saml2/idpresponse
IdP harus mengenkripsi respons seperti yang ditentukan oleh spesifikasi 2.0. SAML Untuk informasi selengkapnya, lihatElement <EncryptedAssertion>
di Assertions and Protocols for the OASIS Security AssertionMarkup Language () V2.0. SAML -
Kumpulan pengguna Anda mendekripsi ciphertext dalam SAML respons dengan kunci pribadi dan tanda di pengguna Anda.
penting
Saat Anda mengaktifkan enkripsi respons untuk SAML iDP di kumpulan pengguna, iDP Anda harus mengenkripsi semua respons dengan kunci publik yang khusus untuk penyedia. Amazon Cognito tidak menerima respons yang tidak terenkripsi SAML dari SAML iDP eksternal yang Anda konfigurasikan untuk mendukung enkripsi.
SAMLIdP eksternal apa pun di kumpulan pengguna Anda dapat mendukung enkripsi respons, dan setiap iDP menerima key pair sendiri.
Menandatangani permintaan SAML
Kemampuan untuk membuktikan integritas permintaan SAML 2.0 ke IDP Anda adalah keuntungan keamanan dari proses masuk yang diprakarsai Amazon SAML Cognito SP. Setiap kumpulan pengguna dengan domain menerima sertifikat penandatanganan kumpulan pengguna X.509. Dengan kunci publik dalam sertifikat ini, kumpulan pengguna menerapkan tanda tangan kriptografi ke permintaan keluar yang dihasilkan oleh kumpulan pengguna Anda saat pengguna memilih iDP. SAML Anda dapat mengonfigurasi klien aplikasi secara opsional untuk menandatangani permintaan SAML masuk. Saat Anda menandatangani SAML permintaan, IDP Anda dapat memeriksa apakah tanda tangan dalam XML metadata permintaan Anda cocok dengan kunci publik dalam sertifikat kumpulan pengguna yang Anda berikan.