General/Custom Autorisierungsanforderungen für Connector-Entwickler

Die allgemeine Autorisierung ermöglicht es Ihrem Connector, Anmeldeinformationen (wie API-Schlüssel, Token oder username/password Kombinationen) anstelle von OAuth 2.0-Benutzertoken zu verwenden. Im Gegensatz zu OAuth 2.0, das eine Autorisierung auf Benutzerebene durch Kontoverknüpfung ermöglicht, ermöglicht die Allgemeine Autorisierung einen einzigen Satz von Anmeldeinformationen zur Steuerung von Geräten mehrerer Endbenutzer.

In diesem Abschnitt wird erklärt, wie Sie die Unterstützung für die allgemeine Autorisierung in Ihre AWS Lambda Konnektorfunktion implementieren. Wenn Sie ein Kunde sind, der General Authorization für einen vorhandenen Connector konfiguriert, finden Sie weitere Informationen unterGeneral/Custom Autorisierungsanforderungen.

Was ist eine allgemeine Autorisierung?

Bei der allgemeinen Autorisierung handelt es sich um einen Autorisierungsmechanismus, der nicht auf OAuth basiert und es Ihrem Connector ermöglicht, mithilfe von Kundenanmeldedaten eine Autorisierung bei Plattformen von Drittanbietern vorzunehmen. Bei der Allgemeinen Autorisierung delegiert Managed Integrations die Verwaltung der Anmeldeinformationen an Ihren Connector, und mit einem einzigen Satz von Anmeldeinformationen können Geräte mehrerer Endbenutzer gesteuert werden.

Dies ist nützlich für Szenarien, in denen Sie eine Geschäftsbeziehung mit dem Gerätehersteller unterhalten und Geräte in großem Umfang verwalten müssen, ohne dass einzelne Benutzer autorisiert werden müssen.

Wann sollte die allgemeine Autorisierung verwendet werden

Erwägen Sie die Implementierung der Unterstützung für allgemeine Autorisierung in Ihrem Connector, wenn:

Wie verwendet General Authorization AWS Secrets Manager

AWS Secrets Manager ist ein geheimer Speicherdienst, der vertrauliche Anmeldeinformationen wie API-Schlüssel und Token schützt. Geheimnisse werden mit AWS Key Management Service Schlüsseln verschlüsselt. Weitere Informationen finden Sie im AWS Secrets Manager -Benutzerhandbuch.

Für die allgemeine Autorisierung speichern Kunden Autorisierungsdaten im Secrets Manager und gewähren Ihrem C2C-Connector die Erlaubnis, auf diese Geheimnisse zuzugreifen. Wenn Managed Integrations Ihren Connector aufruft, stellt er den Secrets Manager Manager-ARN und die Versions-ID im Anforderungsheader bereit. Ihr Connector ruft den geheimen Wert ab und verwendet ihn zur Autorisierung bei der Drittanbieterplattform.

Dieser Ansatz stellt sicher, dass verwaltete Integrationen langfristige Anmeldeinformationen niemals direkt verarbeiten. Ihr Connector behält die volle Kontrolle über die Verwaltung von Anmeldeinformationen und die Token-Generierung, sodass die Lösung auf jeden Autorisierungsmechanismus erweiterbar ist, der von Ihrer Drittanbieterplattform unterstützt wird.

Allgemeines Format für Autorisierungsanfragen

Wenn Managed Integrations Ihren Connector für eine Kontoverknüpfung mit allgemeiner Autorisierung aufruft, enthält der Anforderungsheader eine AWS Secrets Manager Referenz anstelle eines OAuth-Tokens. Die Anforderungsstruktur ist bei allen Konnektorvorgängen (AWS.ActivateUser,AWS.DiscoverDevices, AWS.SendCommand und) konsistent. AWS.DeactivateUser

{
  "header": {
    "auth": {
      "secretsManager": {
        "arn": "arn:aws:secretsmanager:us-east-1:123456789012:secret:my-api-key-AbCdEf",
        "versionId": "a1b2c3d4-5678-90ab-cdef-1234567890ab"
      },
      "type": "GeneralAuthorization"
    }
  },
  "payload": {
    "operationName": "AWS.DiscoverDevices",
    "operationVersion": "1.0",
    "connectorId": "Your-Connector-Id",
    ...
  }
}

{
  "header": {
    "auth": {
      "token": "ashriu32yr97feqy7afsaf",
      "type": "OAuth2.0"
    }
  },
  "payload": {
    "operationName": "AWS.DiscoverDevices",
    "operationVersion": "1.0",
    "connectorId": "Your-Connector-Id",
    ...
  }
}

Allgemeiner Autorisierungsablauf

Wenn Ihr Connector eine allgemeine Autorisierungsanfrage erhält, gehen Sie wie folgt vor:

Lambda-Berechtigungen für GeneralAuthorization

Ihre Connector-Lambda-Ausführungsrolle muss über die Berechtigung verfügen, Geheimnisse von denen des AWS Secrets Manager Kunden abzurufen. Fügen Sie Ihrer Lambda-Ausführungsrollenrichtlinie die folgenden Berechtigungen hinzu:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "secretsmanager:GetSecretValue"
      ],
      "Resource": "arn:aws:secretsmanager:*:*:secret:*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "kms:Decrypt"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "kms:ViaService": "secretsmanager.*.amazonaws.com"
        }
      }
    }
  ]
}

Erklärung der Erlaubnis

Der Kunde erteilt Ihrem Lambda über die Ressourcenrichtlinie des Secrets auch die Erlaubnis, auf sein spezifisches Geheimnis zuzugreifen.