Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Aufbau Ihrer Integration

Den Lebenszyklus von Anfragen verstehen

Bevor Sie Ihre Integration erstellen, ist es wichtig zu verstehen, wie sich Delegierungsanfragen von der Erstellung bis zum Abschluss entwickeln.

Staaten anfragen

Ein Delegierungsantrag durchläuft die folgenden Staaten:

Zustandsübergänge

Normaler Ablauf (Genehmigungspfad)

Pfad der Ablehnung

Ablaufpfad

Anfragen laufen automatisch ab, wenn innerhalb des angegebenen Zeitraums keine Maßnahmen ergriffen werden:

Status der Endgeräte

Die folgenden Zustände sind terminal (keine weiteren Übergänge):

Abgelaufene Anfragen werden nach Ablauf der Aufbewahrungsfrist schließlich aus dem System gelöscht.

Verwaltung der Status von Delegierungsanfragen in Ihrer Bewerbung

Als Partner müssen Sie den Status von Delegierungsanfragen in Ihrem System verfolgen und Ihren Kunden mitteilen. Wenn Sie SNS-Benachrichtigungen über Statusänderungen erhalten, speichern Sie diese Aktualisierungen in Ihrem Backend und spiegeln sie in Ihrer kundenorientierten Benutzeroberfläche wider. Achten Sie besonders auf den Status „Ausstehende Genehmigung“. Wenn ein Kunde eine Anfrage zur Überprüfung an einen Administrator AWS weiterleitet, erhalten Sie eine Benachrichtigung über ausstehende Genehmigung. Anfragen können bis zu 7 Tage in diesem Status verbleiben, während sie auf eine Administratoraktion warten. Zeigen Sie den Kunden während dieser Zeit in Ihrer Anwendung, dass ihre Anfrage noch von einem Administrator genehmigt werden muss. Erwägen Sie, einen Deep-Link zur AWS Konsole bereitzustellen, über den Kunden den Status der Anfrage überprüfen oder sich mit ihrem Administrator in Verbindung setzen können. Für ein gutes Integrationserlebnis ist es wichtig, den State-Machine in Ihrem Backend richtig zu handhaben und den Kunden in jeder Phase die richtigen Statusinformationen zur Verfügung zu stellen.

Konfigurieren von -Benachrichtigungen

IAM verwendet Amazon Simple Notification Service (SNS), um Ihnen Statusänderungen der Delegierungsanfrage mitzuteilen. Wenn Sie eine Delegierungsanfrage erstellen, müssen Sie einen ARN für ein SNS-Thema aus Ihrem registrierten Konto angeben. AWS IAM veröffentlicht Nachrichten zu diesem Thema bei wichtigen Ereignissen, z. B. wenn Kunden Anfragen genehmigen oder ablehnen und wenn das Exchange-Token bereit ist.

SNS-Thema: Konfiguration

Um Benachrichtigungen über Delegierungsanfragen zu erhalten, müssen Sie Ihr SNS-Thema so konfigurieren, dass IAM-Berechtigungen zum Veröffentlichen von Nachrichten an das Thema erteilt werden. Fügen Sie Ihrer SNS-Themenrichtlinie die folgende Grundsatzerklärung hinzu:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowIAMServiceToPublish",
            "Effect": "Allow",
            "Principal": {
                "Service": "iam.amazonaws.com"
            },
            "Action": "SNS:Publish",
            "Resource": "arn:aws:sns:REGION:ACCOUNT-ID:TOPIC-NAME"
        }
    ]
}

Arten von Benachrichtigungen

IAM sendet zwei Arten von Benachrichtigungen:

StateChange Benachrichtigungen

Wird gesendet, wenn eine Delegierungsanfrage in einen neuen Status übergeht (Zugewiesen, Ausstehende Genehmigung, Akzeptiert, Abgeschlossen, Abgelehnt, Abgelaufen).

ExchangeToken Benachrichtigungen

Wird gesendet, wenn ein Kunde das Delegierungstoken freigibt (Status Finalisiert). Diese Benachrichtigung enthält das Exchange-Token, das Sie benötigen, um Anmeldeinformationen zu erhalten.

Staaten der Benachrichtigung

Sie erhalten Benachrichtigungen für die folgenden Staaten der Delegierungsanfrage:

Format der Benachrichtigungsnachricht

IAM veröffentlicht Standard-SNS-Benachrichtigungen. Die Informationen zur Delegierungsanfrage sind im Nachrichtenfeld als JSON-Zeichenfolge enthalten.

Allgemeine Felder (Alle Benachrichtigungen)

Zusätzliche Felder (nur ExchangeToken Benachrichtigungen)

Beispielbenachrichtigungen

StateChange Benachrichtigung

{
  "Type": "Notification",
  "MessageId": "61ee8ad4-6eec-56b5-8f3d-eba57556aa13",
  "TopicArn": "arn:aws:sns:us-east-1:123456789012:partner-notifications",
  "Message": "{\"RequestorWorkflowId\":\"workflow-12345\",\"Type\":\"StateChange\",\"RequestId\":\"dr-abc123\",\"State\":\"ACCEPTED\",\"OwnerAccountId\":\"111122223333\",\"UpdatedAt\":\"2025-01-15T10:30:00.123Z\"}",
  "Timestamp": "2025-01-15T10:30:00.456Z",
  "SignatureVersion": "1",
  "Signature": "...",
  "SigningCertURL": "...",
  "UnsubscribeURL": "..."
}

ExchangeToken Benachrichtigung

{
  "Type": "Notification",
  "MessageId": "e44e5435-c72c-5333-aba3-354406782f5b",
  "TopicArn": "arn:aws:sns:us-east-1:123456789012:partner-notifications",
  "Message": "{\"RequestId\":\"dr-abc123\",\"RequestorWorkflowId\":\"workflow-12345\",\"State\":\"FINALIZED\",\"OwnerAccountId\":\"111122223333\",\"ExchangeToken\":\"eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...\",\"ExpiresAt\":\"2025-01-15T18:30:00.123Z\",\"UpdatedAt\":\"2025-01-15T10:30:00.456Z\",\"Type\":\"ExchangeToken\"}",
  "Timestamp": "2025-01-15T10:30:00.789Z",
  "SignatureVersion": "1",
  "Signature": "...",
  "SigningCertURL": "...",
  "UnsubscribeURL": "..."
}

Tokens austauschen

Ein Exchange-Token oder ein Trade-In-Token wird von IAM ausgegeben, wenn ein Kunde eine Delegierungsanfrage akzeptiert und abschließt. Der Produktanbieter verwendet dieses Exchange- oder Trade-In-Token, um die AWS STS GetDelegatedAccessToken API aufzurufen und temporäre AWS Anmeldeinformationen mit den vom Kunden genehmigten Berechtigungen zu erhalten. Das Exchange-Token selbst gewährt keinen Zugriff auf Ihre AWS Ressourcen; es muss über AWS STS gegen tatsächliche Anmeldeinformationen ausgetauscht werden.

Das Exchange-Token kann nur von dem Konto des Produktanbieters eingelöst werden, das die Delegierungsanfrage erstellt hat. Das anfordernde Konto ist in das Token eingebettet, wodurch sichergestellt wird, dass nur der autorisierte Produktanbieter Anmeldeinformationen für den Zugriff auf das Kundenkonto erhalten kann.

Dauer des Zugriffs

Die Delegationsfrist beginnt, wenn der Kunde das Exchange-Token freigibt, nicht, wenn der Produktanbieter es einlöst. Sobald der Kunde das Token freigibt:

Mehrere Einlösungen

Produktanbieter können das Token während des Gültigkeitszeitraums mehrmals austauschen, um neue Anmeldeinformationen zu erhalten. Alle Anmeldeinformationen, die mit demselben Exchange-Token abgerufen wurden, laufen jedoch gleichzeitig ab, je nachdem, wann Sie das Token freigegeben haben.

Beispiel: Wenn Sie eine zweistündige Delegierungsanfrage genehmigen und das Token um 10:00 Uhr freigeben:

Wie in der Tabelle dargestellt, führt der Austausch des Tokens zu einem späteren Zeitpunkt des Gültigkeitszeitraums zu einer geringeren Nutzungsdauer für den Produktanbieter.