Zuordnung von IdP-Attributen zu Profilen und Tokens

• Bei der Anmeldung eines Verbundbenutzers bei Ihrer Anwendung muss ein Mapping für jedes Benutzerpool-Attribut vorhanden sein, das Ihr Benutzerpool verlangt. Beispiel: Wenn Ihr Benutzerpool ein email-Attribut für die Anmeldung erfordert, ordnen Sie dieses Attribut seiner Entsprechung vom IDP zu.

• Standardmäßig werden zugeordnete E-Mail-Adressen nicht überprüft. Sie können eine zugeordnete E-Mail-Adresse nicht mit einem einmaligen Code verifizieren. Ordnen Sie stattdessen ein Attribut von Ihrem IdP zu, um den Überprüfungsstatus zu erhalten. Google und die meisten OIDC-Anbieter enthalten beispielsweise das email_verified-Attribut.

• So können in Ihrem Benutzerpool Identitätsanbieter(IDP)-Token benutzerdefinierten Attributen zuordnen. Anbieter sozialer Netzwerke präsentieren ein Zugriffstoken, und OIDC-Anbieter präsentieren ein Zugriffs- und ein ID-Token. Um ein Token zuzuordnen, fügen Sie ein benutzerdefiniertes Attribut mit einer maximalen Länge von 2048 Zeichen hinzu, gewähren Sie Ihrem App-Client Schreibzugriff auf das Attribut und ordnen Sie dem benutzerdefinierten Attribut access_token oder id_token des IDP zu.

• Für jedes zugeordnete Benutzerpool-Attribut muss die maximale Länge des Wertes (2048 Zeichen) für den Wert groß genug sein, den Amazon Cognito vom IDP abruft. Andernfalls meldet Amazon Cognito einen Fehler, wenn sich Benutzer bei Ihrer Anwendung anmelden. Amazon Cognito unterstützt die Zuordnung von IDP-Token zu benutzerdefinierten Attributen nicht, wenn die Token mehr als 2048 Zeichen lang sind.

• Amazon Cognito leitet das username Attribut im Profil eines Verbundbenutzers von bestimmten Ansprüchen ab, die Ihr verbundener IdP bestanden hat, wie in der folgenden Tabelle dargestellt. Amazon Cognito stellt diesem Attributwert beispielsweise den Namen Ihres IdP voran. MyOIDCIdP_[sub] Wenn Sie möchten, dass Ihre Verbundbenutzer ein Attribut haben, das genau mit einem Attribut in Ihrem externen Benutzerverzeichnis übereinstimmt, ordnen Sie dieses Attribut einem Amazon Cognito-Anmeldeattribut wie. preferred_username

  Identitätsanbieter	Quellattribut username
  Facebook	id
  Google	sub
  Login with Amazon	user_id
  Mit Apple anmelden	sub
  SAML-Anbieter	NameID
  Open ID Connect (OIDC)-Anbieter	sub

• Wenn ein Benutzerpool nicht zwischen Groß- und Kleinschreibung unterscheidet, wandelt Amazon Cognito den gesamten automatisch generierten Benutzernamen eines Verbundbenutzers in Kleinbuchstaben um, einschließlich des IdP-Namenpräfixes. Im Folgenden finden Sie ein Beispiel für einen Nutzerpool, bei dem zwischen Groß- und Kleinschreibung unterschieden wird:. MySAML_TestUser@example.com Das Folgende ist derselbe Benutzername für einen Benutzerpool, bei dem die Groß- und Kleinschreibung nicht berücksichtigt wird:. mysaml_testuser@example.com

  In Benutzerpools, bei denen die Groß- und Kleinschreibung nicht berücksichtigt wird, löst Ihr Lambda diesen Prozess aus. Der Benutzername muss Änderungen am gesamten Benutzernamen berücksichtigen. Diese Änderungen schließen alle Werte mit Groß- und Kleinschreibung aus den Quellattributen des Benutzernamens ein, die Sie Ihrem IdP zugeordnet haben. Um Ihren IdP mit einem Benutzerpool zu verknüpfen, der eine andere Einstellung zur Berücksichtigung der Groß- und Kleinschreibung hat als Ihr aktueller Pool, erstellen Sie einen neuen Benutzerpool.

• Amazon Cognito muss Ihre zugeordneten Benutzerpool-Attribute aktualisieren können, wenn sich Benutzer bei Ihrer Anwendung anmelden. Wenn sich ein Benutzer über einen IdP anmeldet, aktualisiert Amazon Cognito die zugeordneten Attribute mit den neuesten Informationen vom IdP. Amazon Cognito aktualisiert zugeordnete Attribute nur, wenn sich ihre Werte ändern. Um sicherzustellen, dass Amazon Cognito die Attribute aktualisieren kann, überprüfen Sie die folgenden Voraussetzungen:

  • Alle benutzerdefinierten Attribute des Benutzerpools, die Sie von Ihrem IDP aus zuordnen, müssen veränderbar sein. Sie können veränderbare benutzerdefinierte Attribute jederzeit aktualisieren. Im Gegensatz dazu können Sie nur einen Wert für das unveränderliche benutzerdefinierte Attribut festlegen, wenn Sie das Benutzerprofil erstellen. Um ein veränderbares benutzerdefiniertes Attribut in der Amazon Cognito-Konsole zu erstellen, aktivieren Sie das Kontrollkästchen Veränderbar für das Attribut, das Sie hinzufügen, wenn Sie im Menü Benutzerdefinierte Attribute hinzufügen auswählen. Sign-up Oder, wenn Sie Ihren Benutzerpool mithilfe der CreateUserPool API-Operation erstellen, können Sie den Mutable Parameter für jedes dieser Attribute auf setzen. true Wenn Ihr IdP einen Wert für ein zugeordnetes unveränderliches Attribut sendet, gibt Amazon Cognito einen Fehler zurück und die Anmeldung schlägt fehl.

  • In den App-Client-Einstellungen für Ihre Anwendung müssen zugeordnete Attribute beschreibbar sein. Sie können festlegen, welche Attribute auf der Seite App-Clients in der Amazon-Cognito-Konsole beschreibbar sind. Wenn Sie den App-Client mithilfe der API-Operation CreateUserPoolClient erstellen, können Sie diese Attribute zum Array WriteAttributes hinzufügen. Wenn Ihr IdP einen Wert für ein zugeordnetes, nicht beschreibbares Attribut sendet, legt Amazon Cognito den Attributwert nicht fest und fährt mit der Authentifizierung fort.

• Wenn IdP-Attribute mehrere Werte enthalten, reduziert Amazon Cognito alle Werte zu einer einzigen kommagetrennten Zeichenfolge, die in den eckigen Klammern und eingeschlossen ist. [ ] Die Amazon Cognito-URL codiert die Werte, die nicht alphanumerische Zeichen außer,, und enthalten, formularcodiert. . - * _ Sie müssen die einzelnen Werte vor der Verwendung in Ihrer App decodieren und analysieren.

• Das Zielattribut behält jeden Wert bei, den ihm Ihre Attributzuordnungsregeln zuweisen, sofern er nicht durch eine Anmeldung oder eine Verwaltungsmaßnahme geändert wird. Amazon Cognito entfernt keine Attribute von Benutzern, wenn das Quellattribut nicht mehr im Anbieter-Token oder in der SAML-Assertion gesendet wird. Die folgenden Aktionen entfernen den Wert eines Attributs aus einem Benutzerpoolprofil für einen Verbundbenutzer:

  1. Der IdP sendet einen leeren Wert für das Quellattribut und eine Zuordnungsregel wendet den leeren Wert auf das Zielattribut an.

  2. Sie löschen den Wert des zugewiesenen Attributs mit einer DeleteUserAttributes AdminDeleteUserAttributes OR-Anfrage.

So geben Sie Attributzuordnungen auf Anbieter-Erstellungszeit an

• AWS CLI: aws cognito-idp create-identity-provider

  Beispiel mit Metadaten-Dokument: : aws cognito-idp create-identity-provider --user-pool-id <user_pool_id> --provider-name=SAML_provider_1 --provider-type SAML --provider-details file:///details.json --attribute-mapping email=http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress

  Wo details.json enthält:

  { 
      "MetadataFile": "<SAML metadata XML>"
  }

  Anmerkung

  Wenn das irgendwelche Anführungszeichen (") <SAML metadata XML> enthält, müssen sie mit einem Escape-Zeichen versehen werden (\").

  Beispiel mit Metadaten-URL:

  aws cognito-idp create-identity-provider \
  --user-pool-id us-east-1_EXAMPLE \
  --provider-name=SAML_provider_1 \
  --provider-type SAML \
  --provider-details MetadataURL=https://myidp.example.com/saml/metadata \
  --attribute-mapping email=http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress

• API/SDK: CreateIdentityProvider

Geben Sie Attributzuordnungen für einen vorhandenen Identitätsanbieter wie folgt an

• AWS CLI: aws cognito-idp update-identity-provider

  Beispiel: aws cognito-idp update-identity-provider --user-pool-id <user_pool_id> --provider-name <provider_name> --attribute-mapping email=http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress

• API/SDK: UpdateIdentityProvider

Rufen Sie Informationen über das Attribut-Mapping für einen bestimmten IdP wie folgt auf

• AWS CLI: aws cognito-idp describe-identity-provider

  Beispiel: aws cognito-idp describe-identity-provider --user-pool-id <user_pool_id> --provider-name <provider_name>

• API/SDK: DescribeIdentityProvider