Utilisation de fournisseurs d'identité OIDC avec un pool d'utilisateurs

Pour vous inscrire avec un fournisseur d'identité OIDC

1. Créez un compte développeur avec le fournisseur d'identité OIDC.

   Liens vers l'OIDC IdPs

   IdP OIDC	Procédure d'installation	URL de découverte OIDC
   Salesforce	Salesforce en tant que fournisseur d'identité OpenID Connect	https://MyDomainName.my.salesforce.com/.well-known/openid-configuration
   PingOne pour Enterprise	Ajouter ou mettre à jour une application OIDC	https://sso.connect.pingidentity.com/sso/as/authorization.oauth2
   Okta	Installer un fournisseur d'identité Okta	https://Your Okta subdomain.okta.com.well-known/openid-configuration
   Identifiant Microsoft Entra	OpenID Connect sur la plateforme d'identité Microsoft	https://login.microsoftonline.com/{tenant}/v2.0 Les valeurs de tenant peuvent inclure un identifiant de locatairecommon,organizations, ouconsumers.

2. Enregistrez l'URL du domaine de votre groupe d'utilisateurs avec le point de terminaison /oauth2/idpresponse auprès de votre fournisseur d'identité (IdP) OIDC Cela garantit que l'IdP OIDC l'acceptera d'Amazon Cognito lors de l'authentification des utilisateurs.

   https://mydomain.us-east-1.amazoncognito.com/oauth2/idpresponse

3. Enregistrez votre URL de rappel avec votre groupe d'utilisateurs Amazon Cognito. Il s'agit de l'URL de la page vers laquelle Amazon Cognito redirige l'utilisateur après une authentification réussie.

   https://www.example.com

4. Sélectionnez vos règles. La règle openid est obligatoire. La règle email est requise pour accorder l'accès aux demandes email et email_verified https://openid.net/specs/openid-connect-basic-1_0.html#StandardClaims.

5. L'IdP OIDC vous fournit un ID client et un clé secrète de client. Vous les utiliserez pour configurer un IdP OIDC dans votre groupe d'utilisateurs.

Exemple : Utilisation de Salesforce en tant qu'IdP OIDC avec votre groupe d'utilisateurs

Vous utilisez un fournisseur d'identité OIDC lorsque vous souhaitez établir une approbation entre un fournisseur d'identité compatible OIDC, tel que Salesforce, et votre groupe d'utilisateurs.

1. Créez un compte sur le site web Salesforce Developers.

2. Connectez-vous avec le compte développeur que vous avez créé à l'étape précédente.

3. Dans votre page Salesforce, procédez de l'une des manières suivantes :

   • Si vous utilisez Lightning Experience, choisissez l'icône d'engrenage de configuration, puis choisissez Setup Home (Page d'accueil de configuration).

   • Si vous utilisez Salesforce et que vous voyez Setup (Configurer) dans l'en-tête de l'interface utilisateur, choisissez cette option.

   • Si vous utilisez Salesforce Classic et que vous ne voyez pas Setup (Configurer) dans l'en-tête, choisissez votre nom dans la barre de navigation supérieure, puis choisissez Setup (Configurer) dans la liste déroulante.

4. Dans la barre de navigation de gauche, sélectionnez Company Settings (Paramètres de l'entreprise).

5. Dans la barre de navigation, choisissez Domaine, saisissez un domaine, puis choisissez Créer.

6. Dans la barre de navigation de gauche, sous Outils de plateforme puis choisissez Applications.

7. Choisissez App Manager (Gestionnaire d'applications).

8. 1. Choisissez Nouvelle application connectée.

   2. Renseignez les champs obligatoires.

      Sous Start URL (URL de lancement), saisissez une URL au niveau du point de terminaison /authorize pour le domaine de groupe d'utilisateurs qui se connecte avec votre fournisseur d'identité Salesforce. Quand vos utilisateurs accèdent à votre application connectée, Salesforce les dirige vers cette URL pour terminer la connexion. Salesforce redirige ensuite les utilisateurs vers l'URL de rappel que vous avez associée à votre client d'application.

      https://mydomain.us-east-1.amazoncognito.com/authorize?response_type=code&client_id=<your_client_id>&redirect_uri=https://www.example.com&identity_provider=CorpSalesforce

   3. Activez OAuth les paramètres et entrez l'URL du point de /oauth2/idpresponse terminaison pour le domaine de votre groupe d'utilisateurs dans Callback URL. Il s'agit de l'URL à laquelle Salesforce émet le code d'autorisation qu'Amazon Cognito échange contre un OAuth jeton.

      https://mydomain.us-east-1.amazoncognito.com/oauth2/idpresponse

9. Sélectionnez vos règles. Vous devez inclure l'étendue openid. Pour accorder l'accès aux demandes email et email_verified, ajoutez l'étendue email. Séparez les étendues par des espaces.

10. Sélectionnez Create (Créer).

    Dans Salesforce, l'ID client est appelé Consumer Key (Clé consommateur)et la clé secrète du client est appelée Consumer Secret (Clé secrète du consommateur). Notez l'ID client et la clé secrète du client. Vous les utiliserez dans la section suivante.

Ajouter un fournisseur d'identité OIDC

1. Accédez à la console Amazon Cognito. Si vous y êtes invité, entrez vos AWS informations d'identification.

2. Choisissez Groupes d'utilisateurs dans le menu de navigation.

3. Choisissez un groupe d’utilisateurs existant dans la liste ou créez-en un.

4. Choisissez le menu Fournisseurs sociaux et externes, puis sélectionnez Ajouter un fournisseur d'identité.

5. Choisissez un fournisseur d'identité OpenID Connect.

6. Saisissez un nom unique dans le champ Nom du fournisseur.

7. Saisissez l'ID client que vous avez reçu de votre fournisseur dans ID du client.

8. Saisissez le secret client que vous avez reçu de votre fournisseur dans Secret du client.

9. Saisissez les périmètres d'autorisation pour ce fournisseur. Les périmètres définissent les groupes d'attributs utilisateur (tels que name et email) que votre demande demandera à votre fournisseur. Les étendues doivent être séparées par des espaces, conformément à la spécification OAuth2.0.

   Votre utilisateur est invité à accepter de fournir ces attributs à votre application.

10. Choisissez une méthode de demande d'attribut pour fournir à Amazon Cognito la méthode HTTP (GET ou POST) qu'il doit utiliser pour récupérer les détails de l'utilisateur à partir du point de terminaison userInfo exploité par votre fournisseur.

11. Choisissez une Méthode de configuration pour récupérer les points de terminaison OpenID Connect soit par Remplissage automatique via l'URL du diffuseur soit par Saisie manuel. Utilisez le remplissage automatique de l'URL de l'émetteur lorsque votre fournisseur dispose d'un point de .well-known/openid-configuration terminaison public sur lequel Amazon Cognito peut récupérer URLs les points de authorization terminaisontoken,userInfo, jwks_uri et.

12. Entrez l'URL de l'émetteur ouauthorization, tokenuserInfo, et le jwks_uri point URLs de terminaison de votre IdP.

    Note

    L'URL doit commencer par https:// et ne doit pas se terminer par une barre oblique /. Seuls les numéros de port 443 et 80 peuvent être utilisés avec cette URL. Par exemple, Salesforce utilise cette URL :

    https://login.salesforce.com

    Si vous choisissez le remplissage automatique, le document de découverte doit utiliser HTTPS pour les valeurs suivantes :authorization_endpoint, token_endpoint, userinfo_endpoint, et jwks_uri. Sinon, la connexion échoue.

13. Par défaut, la demande d'OIDC sub est mappée à l'attribut de groupe d'utilisateurs Nom d'utilisateur. Vous pouvez mapper d'autres demandes d'OIDC aux attributs de groupe d'utilisateurs. Saisissez la demande OIDC et choisissez l'attribut du groupe d'utilisateurs correspondant dans la liste déroulante. Par exemple, l'e-mail de demande est souvent mappé à l'e-mail de l'attribut de groupe d'utilisateurs.

14. Mappez les attributs de votre fournisseur d'identité dans votre groupe d'utilisateurs. Pour de plus amples informations, veuillez consulter Spécification des mappages d'attribut du fournisseur d'identité pour votre groupe d'utilisateurs.

15. Sélectionnez Create (Créer).

16. Dans le menu Clients de l'application, sélectionnez un client d'application dans la liste et sélectionnez Modifier. Pour ajouter le nouveau fournisseur d'identité OIDC au client de l'application, accédez à l'onglet Pages de connexion et sélectionnez Modifier dans la configuration des pages de connexion gérées.

17. Sélectionnez Enregistrer les modifications.

• Consultez les descriptions des paramètres de la méthode CreateIdentityProviderAPI.

  
                          
  aws cognito-idp create-identity-provider
  --user-pool-id string
  --provider-name string
  --provider-type OIDC
  --provider-details map
  
  
  --attribute-mapping string
  --idp-identifiers (list)
  --cli-input-json string
  --generate-cli-skeleton string
  
  

  Utilisez ce schéma pour les détails du fournisseur :

                      
                          
  { 
    "client_id": "string",
    "client_secret": "string",
    "authorize_scopes": "string",
    "attributes_request_method": "string",
    "oidc_issuer": "string",
  
    "authorize_url": "string",
    "token_url": "string",
    "attributes_url": "string",
    "jwks_uri": "string"
  }