Descripción general de la propagación de identidades de confianza

Con una propagación de identidad confiable, el acceso de los usuarios a los recursos de AWS se puede definir, conceder y registrar más fácilmente. La propagación de identidades de confianza se basa en el marco de autorización de OAuth 2.0, que permite a las aplicaciones acceder a los datos de los usuarios y compartirlos de forma segura sin compartir contraseñas. OAuth 2.0 proporciona un acceso delegado seguro a los recursos de la aplicación. El acceso es delegado porque el administrador de los recursos aprueba o delega la aplicación en la que el usuario inicia sesión para acceder a la otra aplicación.

Para evitar compartir las contraseñas de los usuarios, la propagación de identidades de confianza utiliza tokens. Los tokens proporcionan una forma estándar para que una aplicación de confianza indique quién es el usuario y qué solicitudes están permitidas entre dos aplicaciones. Las aplicaciones administradas por AWS que se integran con la propagación de identidades de confianza obtienen los tokens directamente de Centro de identidades de IAM. Centro de identidades de IAM también ofrece una opción para que las aplicaciones intercambien tokens de identidad y tokens de acceso que provienen de un servidor de autorización de OAuth 2.0 externo. Esto permite que una aplicación se autentique y obtenga tokens externos a AWS, cambie el token por un token de Centro de identidades de IAM y utilice el nuevo token para realizar solicitudes a los servicios de AWS. Para obtener más información, consulte Uso de aplicaciones con un emisor de tokens de confianza.

El proceso de OAuth 2.0 comienza cuando un usuario inicia sesión en una aplicación. La aplicación en la que inicia sesión el usuario inicia una solicitud para acceder a los recursos de la otra aplicación. La aplicación iniciadora (solicitante) puede acceder a la aplicación receptora en nombre del usuario solicitando un token al servidor de autorización. El servidor de autorización devuelve el token y la aplicación iniciadora pasa ese token a la aplicación receptora, junto con una solicitud de acceso.