General/Custom Requisitos de autorización para los desarrolladores de conectores

La autorización general permite que tu conector utilice credenciales (como claves de API, tokens o username/password combinaciones) en lugar de tokens de usuario de OAuth 2.0. A diferencia de OAuth 2.0, que proporciona autorización a nivel de usuario mediante la vinculación de cuentas, la Autorización General permite que un único conjunto de credenciales controle los dispositivos de varios usuarios finales.

En esta sección se explica cómo implementar la compatibilidad con la autorización general en su AWS Lambda función de conector. Si es un cliente que está configurando la autorización general para un conector existente, consulteGeneral/Custom Requisitos de autorización.

¿Qué es la autorización general?

La autorización general es cualquier mecanismo de autorización ajeno a OAuth que permite a su conector realizar autorizaciones en plataformas de terceros utilizando las credenciales del cliente. Con la autorización general, Managed Integrations delega la administración de credenciales en su conector y un único conjunto de credenciales puede controlar los dispositivos de varios usuarios finales.

Esto resulta útil en situaciones en las que tiene una relación comercial con el proveedor del dispositivo y necesita administrar los dispositivos a escala sin flujos de autorización de usuarios individuales.

Cuándo usar la autorización general

Considere la posibilidad de implementar el soporte de autorización general en su conector cuando:

Cómo se usa la Autorización General AWS Secrets Manager

AWS Secrets Manager es un servicio de almacenamiento secreto que protege las credenciales confidenciales, como las claves de API y los tokens. Los secretos se cifran mediante AWS Key Management Service claves. Para obtener más información, consulte la Guía del usuario de AWS Secrets Manager.

Para la autorización general, los clientes almacenan las credenciales de autorización en Secrets Manager y otorgan permiso a su conector C2C para acceder a estos secretos. Cuando las integraciones gestionadas invocan tu conector, proporcionan el ARN de Secrets Manager y el ID de versión en el encabezado de la solicitud. El conector recupera el valor secreto y lo utiliza para autorizar con la plataforma de terceros.

Este enfoque garantiza que las integraciones gestionadas nunca gestionen directamente las credenciales a largo plazo. Su conector mantiene un control total sobre la administración de credenciales y la generación de tokens, lo que hace que la solución se pueda extender a cualquier mecanismo de autorización compatible con su plataforma de terceros.

Formato de solicitud de autorización general

Cuando Managed Integrations invoca tu conector para una asociación de cuentas de autorización general, el encabezado de la solicitud contiene una AWS Secrets Manager referencia en lugar de un token de OAuth. La estructura de la solicitud es coherente en todas las operaciones del conector (AWS.ActivateUser,AWS.DiscoverDevices, AWS.SendCommand y). AWS.DeactivateUser

{
  "header": {
    "auth": {
      "secretsManager": {
        "arn": "arn:aws:secretsmanager:us-east-1:123456789012:secret:my-api-key-AbCdEf",
        "versionId": "a1b2c3d4-5678-90ab-cdef-1234567890ab"
      },
      "type": "GeneralAuthorization"
    }
  },
  "payload": {
    "operationName": "AWS.DiscoverDevices",
    "operationVersion": "1.0",
    "connectorId": "Your-Connector-Id",
    ...
  }
}

{
  "header": {
    "auth": {
      "token": "ashriu32yr97feqy7afsaf",
      "type": "OAuth2.0"
    }
  },
  "payload": {
    "operationName": "AWS.DiscoverDevices",
    "operationVersion": "1.0",
    "connectorId": "Your-Connector-Id",
    ...
  }
}

Flujo de trabajo de autorización general

Cuando su conector reciba una solicitud de autorización general, siga este flujo de trabajo:

Permisos Lambda para GeneralAuthorization

Su función de ejecución de Connector Lambda debe tener permiso para recuperar datos secretos del cliente. AWS Secrets Manager Añada los siguientes permisos a su política de funciones de ejecución de Lambda:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "secretsmanager:GetSecretValue"
      ],
      "Resource": "arn:aws:secretsmanager:*:*:secret:*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "kms:Decrypt"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "kms:ViaService": "secretsmanager.*.amazonaws.com"
        }
      }
    }
  ]
}

Explicación de permisos

El cliente también le concederá a Lambda permiso para acceder a su secreto específico a través de la política de recursos del secreto.