Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
OIDC-Verbund
Stellen Sie sich vor, Sie erstellen eine Anwendung, die auf AWS Ressourcen zugreift, z. B. GitHub Aktionen, die Workflows für den Zugriff auf Amazon S3 und DynamoDB verwenden.
Wenn Sie diese Workflows verwenden, stellen Sie Anfragen an AWS Dienste, die mit einem AWS Zugriffsschlüssel signiert werden müssen. Wir empfehlen jedoch dringend, AWS Anmeldeinformationen nicht langfristig in externen Anwendungen zu speichern AWS. Konfigurieren Sie Ihre Anwendungen stattdessen mithilfe des OIDC-Verbunds so, dass temporäre AWS Sicherheitsanmeldeinformationen bei Bedarf dynamisch angefordert werden. Die bereitgestellten temporären Anmeldeinformationen sind einer AWS Rolle zugeordnet, die nur über Berechtigungen verfügt, die zur Ausführung der von der Anwendung benötigten Aufgaben erforderlich sind.
Beim OIDC-Verbund müssen Sie keinen benutzerdefinierten Anmelde-Code erstellen oder Ihre eigenen Benutzeridentitäten verwalten. Stattdessen können Sie OIDC in Anwendungen wie GitHub Actions oder jedem anderen OpenID Connect (OIDC) -kompatiblen IdP verwenden, bei dem Sie sich authentifizieren. AWS Sie erhalten ein Authentifizierungstoken, das als JSON Web Token (JWT) bekannt ist, und tauschen dieses Token dann gegen temporäre Sicherheitsanmeldeinformationen in AWS dieser Map an eine IAM-Rolle mit Berechtigungen zur Nutzung bestimmter Ressourcen in Ihrem. AWS-Konto Die Verwendung eines IdP hilft Ihnen dabei, Ihre AWS-Konto Sicherheit zu gewährleisten, da Sie keine langfristigen Sicherheitsanmeldeinformationen in Ihre Anwendung einbetten und verteilen müssen.
Der OIDC-Verbund unterstützt sowohl die Authentifizierung von Maschine zu Maschine (wie CI/CD Pipelines, automatisierte Skripts und serverlose Anwendungen) als auch die Authentifizierung durch menschliche Benutzer. Für Szenarien mit Benutzerauthentifizierung, in denen Sie Benutzerregistrierung, Anmeldung und Benutzerprofile verwalten müssen, sollten Sie Amazon Cognito
Anmerkung
Von OpenID Connect (OIDC)-Identitätsanbietern ausgestellte JSON Web Tokens (JWTs) enthalten im exp-Antrag eine Ablaufzeit, die angibt, wann das Token abläuft. IAM bietet ein Zeitfenster von fünf Minuten nach der im JWT angegebenen Ablaufzeit, um Zeitabweichungen zu berücksichtigen, wie es der OpenID Connect (OIDC
Themen
Weitere Ressourcen für den OIDC-Verbund
Die folgenden Ressourcen können Ihnen dabei helfen, mehr über den OIDC-Verbund zu erfahren:
-
Verwenden Sie OpenID Connect in Ihren GitHub Workflows, indem Sie OpenID Connect in Amazon Web Services konfigurieren https://docs.github.com/en/actions/deployment/security-hardening-your-deployments/configuring-openid-connect-in-amazon-web-services
-
Amazon Cognito Identity
im Amplify Libraries for Android-Handbuch und Amazon Cognito Identity im Amplify Libraries for Swift-Handbuch. -
Wie Sie eine externe ID verwenden, wenn Sie Zugriff
auf Ihre AWS Ressourcen gewähren, finden Sie im AWS Sicherheitsblog Anleitungen zur sicheren Konfiguration des kontoübergreifenden Zugriffs und des externen Identitätsverbunds.
