As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.
SAMLassinatura e criptografia
SAMLO login 2.0 é construído em torno do usuário de um aplicativo como portador de solicitações e respostas em seu fluxo de autenticação. Talvez você queira garantir que os usuários não estejam lendo ou modificando esses SAML documentos em trânsito. Para fazer isso, adicione SAML assinatura e criptografia aos provedores de SAML identidade (IdPs) em seu grupo de usuários. Com a SAML assinatura, seus grupos de usuários adicionam uma SAML assinatura às solicitações de entrada e saída. Com a chave pública do grupo de usuários, seu IdP pode verificar se está recebendo solicitações não modificadasSAML. Então, quando seu IdP responde e passa SAML afirmações para as sessões do navegador dos usuários, o IdP pode criptografar essa resposta para que o usuário não possa inspecionar seus próprios atributos e direitos.
Com a SAML assinatura e a criptografia, todas as operações criptográficas durante as operações do grupo SAML de usuários devem gerar assinaturas e texto cifrado com as chaves geradas pelo user-pool-provided Amazon Cognito. Atualmente, você não pode configurar um grupo de usuários para assinar solicitações ou aceitar declarações criptografadas com uma chave externa.
nota
Seus certificados de grupo de usuários são válidos por 10 anos. Uma vez por ano, o Amazon Cognito gera novos certificados de assinatura e criptografia para seu grupo de usuários. O Amazon Cognito retorna o certificado mais recente quando você solicita o certificado de assinatura e assina as solicitações com o certificado de assinatura mais recente. Seu IdP pode criptografar SAML afirmações com qualquer certificado de criptografia de grupo de usuários que não tenha expirado. Seus certificados anteriores continuam válidos por toda a duração e a chave pública não muda entre os certificados. Como prática recomendada, atualize o certificado na configuração do seu provedor anualmente.
Aceitando SAML respostas criptografadas do seu IdP
O Amazon Cognito e seu IdP podem estabelecer confidencialidade nas SAML respostas quando os usuários fazem login e saem. O Amazon Cognito atribui um par de RSA chaves público-privadas e um certificado a SAML cada provedor externo que você configura no seu grupo de usuários. Ao habilitar a criptografia de resposta para seu SAML provedor de grupo de usuários, você deve carregar seu certificado em um IdP que ofereça suporte a respostas criptografadasSAML. A conexão do grupo de usuários com seu SAML IdP não funciona antes que seu IdP comece a criptografar todas as SAML afirmações com a chave fornecida.
Veja a seguir uma visão geral do fluxo de um SAML login criptografado.
-
Seu usuário inicia o login e escolhe seu IdP. SAML
-
Seu grupo de usuários Autorizar endpoint redireciona seu usuário para o SAML IdP com uma solicitação de login. SAML Seu grupo de usuários pode, opcionalmente, acompanhar essa solicitação com uma assinatura que permite a verificação da integridade pelo IdP. Quando quiser assinar SAML solicitações, você deve configurar seu IdP para aceitar solicitações que seu grupo de usuários tenha assinado com a chave pública no certificado de assinatura.
-
O SAML IdP faz login no seu usuário e gera uma SAML resposta. O IdP criptografa a resposta com a chave pública e redireciona o usuário para o endpoint do grupo de usuários.
/saml2/idpresponseO IdP deve criptografar a resposta conforme definido pela especificação 2.0. SAML Para obter mais informações, consulteElement <EncryptedAssertion>Assertions and Protocols for the OASIS Security Assertion Markup Language () SAMLV2.0. -
Seu grupo de usuários decifra o texto cifrado na SAML resposta com a chave privada e faz login com seu usuário.
Importante
Quando você ativa a criptografia de resposta para um SAML IdP em seu grupo de usuários, seu IdP deve criptografar todas as respostas com uma chave pública específica do provedor. O Amazon Cognito não aceita SAML respostas não criptografadas de um SAML IdP externo que você configura para suportar criptografia.
Qualquer SAML IdP externo em seu grupo de usuários pode suportar criptografia de resposta, e cada IdP recebe seu próprio par de chaves.
SAMLSolicitações de assinatura
A capacidade de provar a integridade das solicitações SAML 2.0 para seu IdP é uma vantagem de segurança do login iniciado pelo Amazon Cognito SAML SP. Cada grupo de usuários com um domínio recebe um certificado de assinatura X.509 do grupo de usuários. Com a chave pública nesse certificado, os grupos de usuários aplicam uma assinatura criptográfica às solicitações de saída que seu grupo de usuários gera quando os usuários selecionam um IdP. SAML Opcionalmente, você pode configurar seu cliente de aplicativo para fazer solicitações de SAML login. Quando você assina suas SAML solicitações, seu IdP pode verificar se a assinatura nos XML metadados de suas solicitações corresponde à chave pública no certificado do grupo de usuários que você fornece.
