Asignación de atributos de IdP a perfiles y tokens

• Cuando un usuario federado se registra en su aplicación, debe haber una asignación para cada atributo del grupo de usuarios que su grupo de usuarios requiera. Por ejemplo, si el grupo de usuarios requiere un atributo email para iniciar sesión, asigne este atributo a su equivalente desde el IdP.

• De forma predeterminada, las direcciones de correo electrónico mapeadas no se verifican. No se puede verificar una dirección de correo electrónico mapeada con un código único. En su lugar, asigne un atributo desde el IdP para obtener el estado de verificación. Por ejemplo, Google y la mayoría de los OIDC proveedores incluyen el email_verified atributo.

• Puede asignar tokens de proveedor de identidades (IdP) a atributos personalizados en su grupo de usuarios. Los proveedores sociales presentan un token de acceso y OIDC los proveedores presentan un token de acceso e identificación. Para asignar un token, agregue un atributo personalizado con una longitud máxima de 2048 caracteres, otorgue al cliente de la aplicación acceso de escritura al atributo y asigne el access_token o el id_token desde el IdP al atributo personalizado.

• Para cada atributo de grupo de usuarios asignado, la longitud máxima del valor de 2048 caracteres debe ser lo suficientemente amplia para el valor que Amazon Cognito obtiene del IdP. De lo contrario, Amazon Cognito comunica un error cuando los usuarios inician sesión en la aplicación. Amazon Cognito no admite la asignación de tokens de IdP a atributos personalizados cuando los tokens tienen más de 2048 caracteres.

• Amazon Cognito deriva el username atributo del perfil de un usuario federado a partir de notificaciones específicas que aprueba su IdP federado, como se muestra en la siguiente tabla. Amazon Cognito antepone este valor de atributo al nombre de su IdP, por ejemplo. MyOIDCIdP_[sub] Si desea que sus usuarios federados tengan un atributo que coincida exactamente con un atributo de su directorio de usuarios externo, asigne ese atributo a un atributo de inicio de sesión de Amazon Cognito, como. preferred_username

  Proveedor de identidad	Atributo de origen de username
  Facebook	id
  Google	sub
  Login with Amazon	user_id
  Inicio de sesión con Apple	sub
  SAMLproveedores	NameID
  proveedores de OpenID Connect () OIDC	sub

• Cuando un grupo de usuarios no distingue entre mayúsculas y minúsculas, Amazon Cognito convierte el atributo fuente del nombre de usuario a minúsculas en los nombres de usuario generados automáticamente por los usuarios federados. El siguiente es un ejemplo de nombre de usuario para un grupo de usuarios que distingue entre mayúsculas y minúsculas:. MySAML_TestUser@example.com El siguiente es el mismo nombre de usuario para un grupo de usuarios que no distingue entre mayúsculas y minúsculas:. MySAML_testuser@example.com

  En los grupos de usuarios que no distinguen entre mayúsculas y minúsculas, los activadores de Lambda que procesan el nombre de usuario deben tener en cuenta esta modificación en cualquier afirmación que mezcle mayúsculas y minúsculas de los atributos de origen del nombre de usuario. Para vincular su IdP a un grupo de usuarios que tenga una configuración de distinción entre mayúsculas y minúsculas diferente a la del grupo de usuarios actual, cree un grupo de usuarios nuevo.

• Amazon Cognito debe poder actualizar los atributos del grupo de usuarios mapeados cuando los usuarios inician sesión en la aplicación. Cuando un usuario inicia sesión a través de un IdP, Amazon Cognito actualiza los atributos asignados con la información más reciente del IdP. Amazon Cognito actualiza cada atributo mapeado incluso si su valor actual ya coincide con la información más reciente. Para asegurarse de que Amazon Cognito pueda actualizar los atributos, consulte los siguientes requisitos:

  • Todos los atributos personalizados del grupo de usuarios que asigne desde su IdP deben ser mutables. Puede actualizar los atributos personalizados mutables en cualquier momento. Por el contrario, solo puede establecer un valor para el atributo personalizado inmutable de un usuario cuando cree por primera vez el perfil de usuario. Para crear un atributo personalizado mutable en la consola de Amazon Cognito, active la casilla de verificación Mutable del atributo que agregue al seleccionar Add custom attributes (Añadir atributos personalizados) en la pestaña Sign-up experience (Experiencia de registro). O bien, si crea su grupo de usuarios mediante la CreateUserPoolAPIoperación, puede establecer el Mutable parámetro para cada uno de estos atributos en. true Si su IDP envía un valor para un atributo inmutable asignado, Amazon Cognito devuelve un error y se produce un error al iniciar sesión.

  • En la configuración del cliente de la aplicación, los atributos asignados deben ser de escritura. Puede definir los atributos que se pueden escribir en la página App clients (Clientes de aplicaciones) en la consola de Amazon Cognito. O bien, si crea el cliente de la aplicación mediante la CreateUserPoolClientAPIoperación, puede añadir estos atributos a la matriz. WriteAttributes Si su IdP envía un valor para un atributo mapeado que no se puede escribir, Amazon Cognito no establece el valor del atributo y procede a la autenticación.

• Cuando los atributos del IdP contienen varios valores, Amazon Cognito aplana todos los valores en una sola cadena delimitada por comas URL y codifica mediante formulario los valores que contienen caracteres no alfanuméricos (excepto los caracteres '', ',' y . ''). - * _ Debe descodificar y analizar los valores individuales antes de usarlos en la aplicación.

Para especificar asignaciones de atributos en el momento de crear el proveedor

• AWS CLI: aws cognito-idp create-identity-provider

  Ejemplo con archivo de metadatos: aws cognito-idp create-identity-provider --user-pool-id <user_pool_id> --provider-name=SAML_provider_1 --provider-type SAML --provider-details file:///details.json --attribute-mapping email=http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress

  Donde details.json contiene:

  { 
      "MetadataFile": "<SAML metadata XML>"
  }

  nota

  Si el archivo de <SAML metadata XML> si contiene comillas ("), deben estar ocultas (\").

  Ejemplo con metadatosURL:

  aws cognito-idp create-identity-provider \
  --user-pool-id us-east-1_EXAMPLE \
  --provider-name=SAML_provider_1 \
  --provider-type SAML \
  --provider-details MetadataURL=https://myidp.example.com/saml/metadata \
  --attribute-mapping email=http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress

• API/SDK: CreateIdentityProvider

Para especificar asignaciones de atributo de un IdP existente

• AWS CLI: aws cognito-idp update-identity-provider

  Ejemplo: aws cognito-idp update-identity-provider --user-pool-id <user_pool_id> --provider-name <provider_name> --attribute-mapping email=http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress

• API/SDK: UpdateIdentityProvider

Para obtener información sobre la asignación de atributos para un IdP específico

• AWS CLI: aws cognito-idp describe-identity-provider

  Ejemplo: aws cognito-idp describe-identity-provider --user-pool-id <user_pool_id> --provider-name <provider_name>

• API/SDK: DescribeIdentityProvider