Konfiguration Ihres externen SAML Identitätsanbieters

Wenn Sie Ihrem Benutzerpool einen SAML Identitätsanbieter (IdP) hinzufügen möchten, müssen Sie einige Konfigurationsaktualisierungen in der Verwaltungsoberfläche Ihres IdP vornehmen. In diesem Abschnitt wird beschrieben, wie Sie die Werte formatieren, die Sie Ihrem IdP zur Verfügung stellen müssen. Sie können auch erfahren, wie Sie das statische oder aktive URL Metadatendokument abrufen, das den IdP und seine SAML Ansprüche an Ihren Benutzerpool identifiziert.

Um Lösungen von Drittanbietern SAML 2.0 Identity Provider (IdP) so zu konfigurieren, dass sie mit dem Verbund für Amazon Cognito Cognito-Benutzerpools funktionieren, müssen Sie Ihren SAML IdP so konfigurieren, dass er zum folgenden Assertion Consumer Service () umleitet:. ACS URL https://mydomain.us-east-1.amazoncognito.com/saml2/idpresponse Wenn Ihr Benutzerpool über eine Amazon-Cognito-Domain verfügt, finden Sie den Domainpfad für Ihren Benutzerpool auf der Registerkarte App integration (App-Integration) in der Amazon-Cognito-Konsole.

Bei einigen ist es SAML IdPs erforderlich, dass Sie die IDurn, die auch als Zielgruppen URI - oder SP-Entitäts-ID bezeichnet wird, im Formular angeben. urn:amazon:cognito:sp:us-east-1_EXAMPLE Sie finden Ihre Benutzerpool-ID unter Benutzerpool-Übersicht in der Amazon Cognito Cognito-Konsole.

Sie müssen Ihren SAML IdP auch so konfigurieren, dass er Werte für alle Attribute bereitstellt, die Sie in Ihrem Benutzerpool als erforderliche Attribute angegeben haben. In der Regel email ist dies ein erforderliches Attribut für Benutzerpools. In diesem Fall muss der SAML IdP in seiner SAML Assertion irgendeine Form von email Anspruch angeben, und Sie müssen den Anspruch dem Attribut für diesen Anbieter zuordnen.

Die folgenden Konfigurationsinformationen für SAML 2.0-IdP-Lösungen von Drittanbietern sind ein guter Ausgangspunkt, um mit der Einrichtung eines Verbunds mit Amazon Cognito Cognito-Benutzerpools zu beginnen. Die aktuellsten Informationen finden Sie direkt in der Dokumentation Ihres Anbieters.

Um SAML Anfragen zu signieren, müssen Sie Ihren IdP so konfigurieren, dass er Anfragen vertraut, die mit Ihrem Benutzerpool-Signaturzertifikat signiert wurden. Um verschlüsselte SAML Antworten zu akzeptieren, müssen Sie Ihren IdP so konfigurieren, dass er alle SAML Antworten an Ihren Benutzerpool verschlüsselt. Ihr Anbieter wird Ihnen eine Dokumentation zur Konfiguration dieser Funktionen zur Verfügung stellen. Ein Beispiel von Microsoft finden Sie unter Konfigurieren der Microsoft SAML Entra-Tokenverschlüsselung.