OpenID Connect (OIDC)-Identitätsanbieter in IAM erstellen - AWS Identitäts- und Zugriffsverwaltung
VoraussetzungenErstellen und Verwalten eines OIDC-Anbieters (Konsole)Erstellen und Verwalten eines IAM-OIDC-Identitätsanbieters (AWS CLI)Erstellen und Verwalten eines IAM-OIDC-Identitätsanbieters (AWS-API)

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

OpenID Connect (OIDC)-Identitätsanbieter in IAM erstellen

IAM-OIDC-Identitätsanbieter sind Entitäten in IAM, die einen externen Identitätsanbieter (IdP)-Service beschreiben, der den OpenID Connect (OIDC)-Standard unterstützt, wie Google oder Salesforce. Sie verwenden einen IAM-OIDC-Identitätsanbieter, wenn Sie eine Vertrauensstellung zwischen einem OIDC-kompatiblen Identitätsanbieter und Ihrem AWS-Konto einrichten möchten. Dies ist hilfreich, wenn Sie eine Mobilgeräte-App oder Webanwendung erstellen, die Zugriff auf AWS-Ressourcen benötigt, Sie jedoch keinen eigenen Anmeldecode schreiben und keine eigenen Benutzeridentitäten verwalten möchten. Weitere Informationen zu diesem Szenario finden Sie unter OIDC-Verbund.

Sie können einen IAM OIDC-Identitätsanbieter mithilfe der AWS Management Console, der AWS Command Line Interface, der Tools for Windows PowerShell oder der IAM API erstellen und verwalten.

Nachdem Sie einen IAM OIDC-Identitätsanbieter erstellt haben, müssen Sie eine oder mehrere IAM-Rollen erstellen. Eine Rolle ist eine Identität in AWS, die im Unterschied zu einem Benutzer keine eigenen Anmeldeinformationen hat. Aber in diesem Kontext ist eine Rolle dynamisch einem Verbundbenutzer zugewiesen, der vom Identitätsanbieter der Organisation authentifiziert wird. Die Rolle ermöglicht es dem Identitätsanbieter Ihres Unternehmens, temporäre Sicherheitsanmeldeinformationen für den Zugriff auf AWS anzufordern. Die der Rolle zugewiesenen Richtlinien bestimmen, welche Aktionen die Verbundbenutzer in ausführen können AWS. Informationen zum Erstellen einer Rolle für einen Drittanbieter-Identitätsanbieter finden Sie unter Rollen für externe Identitätsanbieter (Verbund) erstellen.

Wichtig

Wenn Sie identitätsbasierte Richtlinien für Aktionen konfigurieren, die oidc-provider-Ressourcen unterstützen, bewertet IAM die vollständige URL des OIDC-Identitätsanbieters, einschließlich aller angegebenen Pfade. Wenn Ihre OIDC-Identitätsanbieter-URL über einen Pfad verfügt, müssen Sie diesen Pfad in der oidc-provider-ARN als Resource-Elementwert angeben. Sie haben auch die Möglichkeit, einen Schrägstrich und einen Platzhalter (/*) an die URL-Domain anzuhängen oder Platzhalterzeichen (* und ?) an einer beliebigen Stelle im URL-Pfad zu verwenden. Wenn die URL des OIDC-Identitätsanbieters in der Anforderung nicht mit dem im Resource-Element der Richtlinie festgelegten Wert übereinstimmt, schlägt die Anforderung fehl.

Informationen zur Behebung gängiger Probleme mit dem IAM-OIDC-Verbund finden Sie unter Behebung von OIDC-bezogenen Fehlern auf AWS re:Post.

Voraussetzungen: Konfiguration Ihres Identitätsanbieters validieren

Bevor Sie einen IAM-OIDC-Identitätsanbieter erstellen können, benötigen Sie die folgenden Informationen von Ihrem IdP. Weitere Informationen zum Abrufen von Informationen zur OIDC-Anbieterkonfiguration finden Sie in der Dokumentation Ihres IdP.

  1. Ermitteln Sie die öffentlich verfügbare URL Ihres OIDC-Identitätsanbieters. Die URL muss mit https:// beginnen. Gemäß dem OIDC-Standard sind Pfadkomponenten zulässig, Abfrageparameter jedoch nicht. Normalerweise besteht die URL nur aus einem Host-Namen, wie https://server.example.org oder https://example.com. Die URL darf keine Portnummer enthalten.

  2. Fügen Sie /.well-known/openid-configuration am Ende der URL Ihres OIDC-Identitätsanbieters hinzu, um das öffentlich verfügbare Konfigurationsdokument und die Metadaten des Anbieters anzuzeigen. Sie müssen über ein Erkennungsdokument im JSON-Format mit dem Konfigurationsdokument und den Metadaten des Anbieters verfügen, die von der URL des Erkennungsendpunkts des OpenID-Connect-Anbieters abgerufen werden können.

  3. Bestätigen Sie, dass die folgenden Werte in den Konfigurationsinformationen Ihres Anbieters enthalten sind. Wenn in Ihrer OpenID-Konfiguration eines dieser Felder fehlt, müssen Sie Ihr Erkennungsdokument aktualisieren. Dieser Vorgang kann je nach Identitätsanbieter unterschiedlich sein. Befolgen Sie daher die Dokumentation Ihres IdP, um diese Aufgabe abzuschließen.

    • Aussteller: Die URL für Ihre Domain.

    • jwks_uri: Der JSON Web Key Set (JWKS)-Endpunkt, von dem IAM Ihre öffentlichen Schlüssel erhält. Ihr Identitätsanbieter muss einen JSON Web Key Set (JWKS)-Endpunkt in die openid-Konfiguration aufnehmen. Dieser URI definiert, wo Sie Ihre öffentlichen Schlüssel abrufen, die zur Überprüfung der signierten Token von Ihrem Identitätsanbieter verwendet werden.

    • claims_supported: Informationen über den Benutzer, die Ihnen dabei helfen sicherzustellen, dass OIDC-Authentifizierungsantworten von Ihrem IdP die erforderlichen Attribute enthalten, die AWS in IAM-Richtlinien verwendet, um die Berechtigungen für Verbundbenutzer zu überprüfen. Eine Liste der IAM-Bedingungsschlüssel, die für Anträge verwendet werden können, finden Sie unter Verfügbare Schlüssel für den AWS OIDC Verbund.

      • aud: Sie müssen den Zielgruppenantragswert ermitteln, den Ihr IdP in JSON Web Tokens (JWTs) ausgibt. Der Zielgruppenantrag (aud) ist anwendungsspezifisch und identifiziert die beabsichtigten Empfänger des Tokens. Wenn Sie eine mobile oder Web-App bei einem OpenID-Connect-Anbieter registrieren, erstellt dieser eine Client-ID, die die Anwendung identifiziert. Die Client-ID ist eine eindeutige Kennung für Ihre App, die im aud-Antrag zur Authentifizierung übergeben wird. Der aud-Antrag muss beim Erstellen Ihres IAM OIDC-Identitätsanbieters mit dem Zielgruppenwert übereinstimmen.

      • iat: Anträge müssen einen Wert für iat enthalten, der den Zeitpunkt der Ausstellung des ID-Tokens darstellt.

      • iss: Die URL des Identitätsanbieters. Die URL muss mit https:// beginnen und sollte der für IAM bereitgestellten Anbieter-URL entsprechen. Gemäß dem OIDC-Standard sind Pfadkomponenten zulässig, Abfrageparameter jedoch nicht. Normalerweise besteht die URL nur aus einem Host-Namen, wie https://server.example.org oder https://example.com. Die URL darf keine Portnummer enthalten.

    • response_types_supported: id_token

    • subject_types_supported: öffentlich

    • id_token_signing_alg_values_supported: RS256, RS384, RS512, ES256, ES384, ES512

    Anmerkung

    Sie können zusätzliche Anträge wie my_custom_claim im folgenden Beispiel einschließen. AWS STS ignoriert den Antrag jedoch.

    {
  "issuer": "https://example-domain.com",
  "jwks_uri": "https://example-domain.com/jwks/keys",
  "claims_supported": [
    "aud",
    "iat",
    "iss",
    "name",
    "sub",
    "my_custom_claim"
  ],
  "response_types_supported": [
    "id_token"
  ],
  "id_token_signing_alg_values_supported": [
    "RS256",
    "RS384",
    "RS512",
    "ES256",
    "ES384",
    "ES512"
  ],
  "subject_types_supported": [
    "public"
  ]
}

Erstellen und Verwalten eines OIDC-Anbieters (Konsole)

Folgen Sie diesen Anweisungen, um einen IAM OIDC-Identitätsanbieter im AWS Management Console zu erstellen und zu verwalten.

Wichtig

Wenn Sie einen IAM-OIDC-Identitätsanbieter von Google, Facebook oder Amazon Cognito verwenden, erstellen Sie mit diesem Verfahren keinen separaten IAM-Identitätsanbieter. Diese OIDC-Identitätsanbieter sind bereits in AWS integriert und stehen Ihnen zur Verfügung. Folgen Sie stattdessen den Schritten zum Erstellen neuer Rollen für Ihren Identitätsanbieter, siehe Rollen für OpenID-Connect-Verbund erstellen (Konsole).

So erstellen Sie einen IAM OIDC-Identitätsanbieter (Konsole)

  1. Bevor Sie einen IAM-OIDC-Identitätsanbieter erstellen, müssen Sie Ihre Anwendung beim Identitätsanbieter registrieren, um eine Client-ID zu erhalten. Die Client-ID (auch als Zielgruppe bezeichnet) ist ein eindeutiger Bezeichner für Ihre App, der ausgestellt wird, wenn Sie Ihre App beim Identitätsanbieter registrieren. Weitere Informationen über den Erhalt einer Client-ID finden Sie in der Dokumentation Ihres Identitätsanbieters.

    Anmerkung

    AWS sichert die Kommunikation mit OIDC-Identitätsanbietern (IdPs) unter Verwendung unserer Bibliothek vertrauenswürdiger Stammzertifizierungsstellen (CAs), um das TLS-Zertifikat des Endpunkts für JSON Web Key Set (JWKS) zu überprüfen. Wenn Ihr OIDC-IdP auf einem Zertifikat basiert, das nicht von einer dieser vertrauenswürdigen Zertifizierungsstellen signiert ist, sichern wir die Kommunikation nur mithilfe der in der Konfiguration des IdP festgelegten Fingerabdrücke. AWS greift auf die Fingerabdrucküberprüfung zurück, wenn wir das TLS-Zertifikat nicht abrufen können oder wenn TLS v1.3 erforderlich ist.

  2. Öffnen Sie die IAM-Konsole unter https://console.aws.amazon.com/iam/.

  3. Wählen Sie im Navigationsbereich Identitätsanbieter und dann Anbieter hinzufügen.

  4. Wählen Sie für Anbieter konfigurieren die Option OpenID Connect.

  5. Geben Sie für Provider URL die URL des Identitätsanbieters ein. Die URL muss den folgenden Einschränkungen entsprechen:

    • Die URL berücksichtigt Groß- und Kleinschreibung.

    • Die URL muss mit https:// beginnen.

    • Die URL darf keine Portnummer enthalten.

    • Innerhalb Ihres AWS-Konto muss jeder IAM-OIDC-Identitätsanbieter eine eindeutige URL verwenden. Wenn Sie versuchen, eine URL zu übermitteln, die bereits für einen OpenID-Connect-Anbieter im AWS-Konto verwendet wurde, wird eine Fehlermeldung angezeigt.

  6. Geben Sie für Audience (Zielpublikum) die Client-ID der Anwendung ein, die Sie beim Identitätsanbieter registriert und in Schritt 1 erhalten haben und die Anfragen an AWS richten wird. Wenn Sie zusätzliche Client-IDs (auch als Zielgruppen bekannt) für diesen Identitätsanbieter haben, können Sie sie zu einem späteren Zeitpunkt auf der Detailseite des Anbieters hinzufügen.

    Anmerkung

    Wenn Ihr IdP-JWT-Token den azp-Antrag enthält, geben Sie diesen Wert als Zielgruppenwert ein.

    Wenn Ihr OIDC-Identitätsanbieter sowohl aud- als auch azp-Anträge im Token festlegt, verwendet AWS STS den Wert im azp-Antrag als aud-Antrag.

  7. (Optional) Für Add tags (Tags hinzufügen) können Sie Schlüsselwertpaare hinzufügen, die Ihnen bei der Identifizierung und Organisation Ihrer Identitätsanbieter helfen. Sie können auch Tags verwenden, um den Zugriff auf AWS-Ressourcen zu steuern. Weitere Informationen zum Markieren von IAM-OIDC-Identitätsanbietern finden Sie unter OpenID Connect (OIDC)-Identitätsanbieter mit Tags versehen. Wählen Sie Add tag. Geben Sie Werte für jedes Tag-Schlüsselwertpaar ein.

  8. Verifizieren Sie die angegebenen Informationen. Wenn Sie fertig sind, wählen Sie Anbieter hinzufügen. IAM wird versuchen, den Fingerabdruck der führenden Zwischen-CA des OIDC-IdP-Serverzertifikats abzurufen und zu verwenden, um den IAM-OIDC-Identitätsanbieter zu erstellen.

    Anmerkung

    Die Zertifikatskette des OIDC-Identitätsanbieters muss mit der Domain oder der URL des Ausstellers beginnen, dann mit dem Zwischenzertifikat und mit dem Root-Zertifikat enden. Wenn die Reihenfolge der Zertifikatkette abweicht oder doppelte bzw. zusätzliche Zertifikate enthält, erhalten Sie einen Signatur-Nichtübereinstimmungsfehler und die Validierung des JSON Web Token (JWT) durch STS schlägt fehl. Korrigieren Sie die Reihenfolge der Zertifikate in der vom Server zurückgegebenen Kette, um den Fehler zu beheben. Weitere Informationen zu Zertifikatskettenstandards finden Sie unter certificate_list in RFC 5246 auf der Website der RFC-Serie.

  9. Weisen Sie Ihrem Identitätsanbieter eine IAM-Rolle zu, um externen Benutzeridentitäten, die von Ihrem Identitätsanbieter verwaltet werden, die Berechtigungen für den Zugriff auf AWS-Ressourcen in Ihrem Konto zu gestatten. Weitere Informationen zum Erstellen von Rollen für den Identitätsverbund finden Sie unter Rollen für externe Identitätsanbieter (Verbund) erstellen.

    Anmerkung

    OIDC-IdPs, die in einer Rollenvertrauensrichtlinie verwendet werden, müssen sich im selben Konto befinden wie die Rolle, die ihr vertraut.

So fügen Sie einen Fingerabdruck für einen IAM-OIDC-Identitätsanbieter (Konsole) hinzu oder entfernen ihn
Anmerkung

AWS sichert die Kommunikation mit OIDC-Identitätsanbietern (IdPs) unter Verwendung unserer Bibliothek vertrauenswürdiger Stammzertifizierungsstellen (CAs), um das TLS-Zertifikat des Endpunkts für JSON Web Key Set (JWKS) zu überprüfen. Wenn Ihr OIDC-IdP auf einem Zertifikat basiert, das nicht von einer dieser vertrauenswürdigen Zertifizierungsstellen signiert ist, sichern wir die Kommunikation nur mithilfe der in der Konfiguration des IdP festgelegten Fingerabdrücke. AWS greift auf die Fingerabdrucküberprüfung zurück, wenn wir das TLS-Zertifikat nicht abrufen können oder wenn TLS v1.3 erforderlich ist.

  1. Öffnen Sie die IAM-Konsole unter https://console.aws.amazon.com/iam/.

  2. Wählen Sie im Navigationsbereich Identitätsanbieter. Wählen Sie dann den Namen des IAM-Identitätsanbieters aus, den Sie aktualisieren möchten.

  3. Wählen Sie die Registerkarte Endpunktverifizierung und dann im Abschnitt Fingerabdrücke die Option Verwalten aus. Um einen neuen Fingerabdruck einzugeben, wählen Sie Fingerabdruck hinzufügen. Wählen Sie zum Entfernen eines Fingerabdrucks neben dem Fingerabdruck, den Sie entfernen möchten, Entfernen.

    Anmerkung

    Ein IAM OIDC-Identitätsanbieter muss mindestens einen und kann maximal fünf Thumbprints haben.

    Wählen Sie abschließend Änderungen speichern.

So fügen Sie eine Zielgruppe für einen IAM OIDC-Identitätsanbieter (Konsole) hinzu

  1. Wählen Sie im Navigationsbereich die Option Identitätsanbieter und dann den Namen des IAM-Identitätsanbieters, den Sie aktualisieren möchten.

  2. Wählen Sie im Abschnitt Zielgruppen die Option Aktionen und wählen Sie Zielgruppe hinzufügen.

  3. Geben Sie für Zielpublikum die Client-ID der Anwendung ein, die Sie beim Identitätsanbieter registriert und in Schritt 1 erhalten haben und die Anfragen an AWS richten wird. Wählen Sie dann Zielgruppen hinzufügen.

    Anmerkung

    Ein IAM OIDC-Identitätsanbieter muss mindestens eine und kann maximal 100 Zielgruppen haben.

So entfernen Sie eine Zielgruppe für einen IAM OIDC-Identitätsanbieter (Konsole)

  1. Wählen Sie im Navigationsbereich die Option Identitätsanbieter und dann den Namen des IAM-Identitätsanbieters, den Sie aktualisieren möchten.

  2. Wählen Sie im Abschnitt Zielgruppen das Optionsfeld neben der Zielgruppe aus, die Sie entfernen möchten, und wählen Sie dann Aktionen.

  3. Wählen Sie Zielgruppe entfernen. Ein neues Fenster wird geöffnet.

  4. Wenn Sie eine Zielgruppe entfernen, können Identitäten, die mit der Zielgruppe verbunden sind, keine mit der Zielgruppe verbundenen Rollen annehmen. Lesen Sie im Fenster die Warnung und bestätigen Sie, dass Sie die Zielgruppe entfernen möchten, indem Sie das Wort remove in das Feld eingeben.

  5. Wählen Sie Entfernen, um die Zielgruppe zu entfernen.

So löschen Sie einen IAM OIDC-Identitätsanbieter (Konsole)

  1. Öffnen Sie die IAM-Konsole unter https://console.aws.amazon.com/iam/.

  2. Wählen Sie im Navigationsbereich Identitätsanbieter.

  3. Aktivieren Sie das Kontrollkästchen neben dem IAM-Identitätsanbieter, den Sie löschen möchten. Ein neues Fenster wird geöffnet.

  4. Bestätigen Sie, dass Sie den Anbieter löschen möchten, indem Sie das Wort delete in das Feld eingeben. Wählen Sie dann Löschen.

Erstellen und Verwalten eines IAM-OIDC-Identitätsanbieters (AWS CLI)

Mit den folgenden AWS CLI-Befehlen können Sie IAM-OIDC-Identitätsanbieter erstellen und verwalten.

So erstellen Sie einen IAM-OIDC-Identitätsanbieter (AWS CLI)

  1. (Optional) Führen Sie zum Abrufen einer Liste aller IAM-OIDC-Identitätsanbieter im AWS-Konto den folgenden Befehl aus:

  2. Führen Sie zum Erstellen eines neuen IAM-OIDC-Identitätsanbieters den folgenden Befehl aus:

So aktualisieren Sie die Liste der Serverzertifikat-Thumbprints für einen vorhandenen IAM-OIDC-Identitätsanbieter (AWS CLI)
Markieren eines bestehenden IAM-OIDC-Identitätsanbieters (AWS CLI)
Auflisten von Tags für einen bestehenden IAM-OIDC-Identitätsanbieter (AWS CLI)
Entfernen von Tags auf einem IAM-OIDC-Identitätsanbieter (AWS CLI)
So fügen Sie eine Client-ID von einem vorhandenen IAM-OIDC-Identitätsanbieter hinzu oder entfernen sie (AWS CLI)

  1. (Optional) Führen Sie zum Abrufen einer Liste aller IAM-OIDC-Identitätsanbieter im AWS-Konto den folgenden Befehl aus:

  2. (Optional) Führen Sie zum Abrufen detaillierter Informationen über einen IAM-OIDC-Identitätsanbieter den folgenden Befehl aus:

  3. Führen Sie zum Hinzufügen einer neuen Client-ID zu einem vorhandenen IAM-OIDC-Identitätsanbieter den folgenden Befehl aus:

  4. Führen Sie zum Entfernen eines Clients von einem vorhandenen IAM-OIDC-Identitätsanbieter den folgenden Befehl aus:

So löschen Sie einen IAM-OIDC-Identitätsanbieter (AWS CLI)

  1. (Optional) Führen Sie zum Abrufen einer Liste aller IAM-OIDC-Identitätsanbieter im AWS-Konto den folgenden Befehl aus:

  2. (Optional) Führen Sie zum Abrufen detaillierter Informationen über einen IAM-OIDC-Identitätsanbieter den folgenden Befehl aus:

  3. Führen Sie zum Löschen eines IAM-OIDC-Identitätsanbieters den folgenden Befehl aus:

Erstellen und Verwalten eines IAM-OIDC-Identitätsanbieters (AWS-API)

Mit den folgenden IAM-API-Befehlen können Sie OIDC-Anbieter erstellen und verwalten.

So erstellen Sie einen IAM-OIDC-Identitätsanbieter (AWS-API)

  1. (Optional) Rufen Sie zum Abrufen einer Liste aller IAM-OIDC-Identitätsanbieter im AWS-Konto die folgende Operation auf:

  2. Rufen Sie zum Erstellen eines neuen IAM-OIDC-Identitätsanbieters die folgende Operation auf:

So aktualisieren Sie die Liste der Serverzertifikat-Thumbprints für einen vorhandenen IAM-OIDC-Identitätsanbieter (AWS-API)
Markieren eines bestehenden IAM-OIDC-Identitätsanbieters (AWS-API)

  • Rufen Sie zum Markieren eines bestehenden IAM-OIDC-Identitätsanbieters die folgende Operation auf:

Auflisten von Tags für einen bestehenden IAM-OIDC-Identitätsanbieter (AWS-API)
Entfernen von Tags auf einem bestehenden IAM-OIDC-Identitätsanbieter (AWS-API)

  • Rufen Sie zum Entfernen von Tags auf einem vorhandenen IAM-OIDC-Identitätsanbieter die folgende Operation auf:

So fügen Sie eine Client-ID von einem vorhandenen IAM-OIDC-Identitätsanbieter hinzu oder entfernen sie (AWS-API)

  1. (Optional) Rufen Sie zum Abrufen einer Liste aller IAM-OIDC-Identitätsanbieter im AWS-Konto die folgende Operation auf:

  2. (Optional) Rufen Sie zum Abrufen detaillierter Informationen über einen IAM-OIDC-Identitätsanbieter die folgende Operation auf:

  3. Rufen Sie zum Hinzufügen einer neuen Client-ID zu einem vorhandenen IAM-OIDC-Identitätsanbieter die folgende Operation auf:

  4. Rufen Sie zum Entfernen einer Client-ID von einem vorhandenen IAM-OIDC-Identitätsanbieter die folgende Operation auf:

So löschen Sie einen IAM-OIDC-Identitätsanbieter (AWS-API)

  1. (Optional) Rufen Sie zum Abrufen einer Liste aller IAM-OIDC-Identitätsanbieter im AWS-Konto die folgende Operation auf:

  2. (Optional) Rufen Sie zum Abrufen detaillierter Informationen über einen IAM-OIDC-Identitätsanbieter die folgende Operation auf:

  3. Rufen Sie zum Löschen eines IAM-OIDC-Identitätsanbieters die folgende Operation auf: