Configuration d'un SAML fournisseur en tant qu'IdP du pool d'identités

Avec les pools d'identités Amazon Cognito, vous pouvez authentifier les utilisateurs auprès des fournisseurs d'identité (IdPs) jusqu'à la version 2.0. SAML Vous pouvez utiliser un IdP compatible SAML avec Amazon Cognito pour fournir un flux d'intégration simple à vos utilisateurs. Votre SAML IdP compatible indique IAM les rôles que vos utilisateurs peuvent assumer. De cette façon, différents utilisateurs peuvent recevoir différents ensembles d'autorisations.

Configuration de votre pool d'identités pour un SAML IdP

Les étapes suivantes décrivent comment configurer votre pool d'identités pour utiliser un IdP SAML basé sur un IdP.

Configuration de votre SAML IdP

Après avoir créé le SAML fournisseur, configurez votre SAML IdP pour ajouter la confiance des parties fiables entre votre IdP et. AWS Dans de nombreux IdPs cas, vous pouvez spécifier un URL que l'IdP peut utiliser pour lire les informations et les certificats des parties fiables figurant dans un XML document. Pour AWS cela, vous pouvez utiliser https://signin.aws.amazon.com/static/saml-metadata.xml. L'étape suivante consiste à configurer la réponse d'SAMLassertion de votre IdP pour renseigner les demandes nécessaires. AWS Pour plus de détails sur la configuration de la réclamation, voir Configuration des SAML assertions pour la réponse d'authentification.

Lorsque votre SAML IdP inclut plusieurs certificats de signature dans les SAML métadonnées, lors de la connexion, votre groupe d'utilisateurs détermine que l'SAMLassertion est valide si elle correspond à un certificat des métadonnées. SAML

Personnalisation de votre rôle d'utilisateur avec SAML

Lorsque vous l'utilisez SAML avec Amazon Cognito Identity, vous pouvez personnaliser le rôle de l'utilisateur final. Amazon Cognito prend uniquement en charge le flux amélioré avec l'SAMLIdP basé. Il n'est pas nécessaire de spécifier un rôle authentifié ou non authentifié pour que le pool d'identités utilise un IdP baséSAML. L'attribut https://aws.amazon.com/SAML/Attributes/Role claim spécifie une ou plusieurs paires de rôle et de fournisseur séparés par des virgules. ARN Ce sont les rôles que l'utilisateur peut endosser. Vous pouvez configurer l'SAMLIdP pour renseigner les attributs de rôle en fonction des informations d'attributs utilisateur disponibles auprès de l'IdP. Si vous recevez plusieurs rôles dans l'SAMLassertion, renseignez le customRoleArn paramètre facultatif lorsque vous appelezgetCredentialsForIdentity. L'utilisateur suppose cela customRoleArn si le rôle correspond à l'un des rôles figurant dans l'SAMLassertion.

Authentification des utilisateurs avec un IdP SAML

Pour fédérer avec l'IdP SAML basé, déterminez URL l'endroit où l'utilisateur initie la connexion. AWS la fédération utilise une connexion initiée par l'IDP. Dans AD FS 2.0, URL il prend la forme dehttps://<fqdn>/adfs/ls/IdpInitiatedSignOn.aspx?loginToRp=urn:amazon:webservices.

Pour ajouter la prise en charge de votre SAML IdP dans Amazon Cognito, authentifiez d'abord les utilisateurs auprès de SAML votre fournisseur d'identité depuis votre application iOS ou Android. Le code que vous utilisez pour intégrer et authentifier l'SAMLIdP est spécifique aux SAML fournisseurs. Après avoir authentifié votre utilisateur, vous pouvez utiliser Amazon APIs Cognito pour fournir l'assertion SAML résultante à Amazon Cognito Identity.

Vous ne pouvez pas répéter ou rejouer une SAML assertion dans la Logins carte de votre API demande de pool d'identités. Une SAML assertion rejouée possède un ID d'assertion qui duplique l'ID d'une demande précédente. API APIles opérations qui peuvent accepter une SAML assertion sur la Logins carte incluent GetIdGetCredentialsForIdentity, GetOpenIdToken, et GetOpenIDTokenForDeveloperIdentity. Vous pouvez réexécuter un ID d'SAMLassertion une fois par API demande dans le flux d'authentification d'un pool d'identités. Par exemple, vous pouvez fournir la même SAML assertion dans une GetId demande et dans une GetCredentialsForIdentity demande ultérieure, mais pas dans une deuxième GetId demande.

Map logins = new HashMap();
logins.put("arn:aws:iam::aws account id:saml-provider/name", "base64 encoded assertion response");
// Now this should be set to CognitoCachingCredentialsProvider object.
CognitoCachingCredentialsProvider credentialsProvider = new CognitoCachingCredentialsProvider(context, identity pool id, region);
credentialsProvider.setLogins(logins);
// If SAML assertion contains multiple roles, resolve the role by setting the custom role
credentialsProvider.setCustomRoleArn("arn:aws:iam::aws account id:role/customRoleName");
// This should trigger a call to the Amazon Cognito service to get the credentials.
credentialsProvider.getCredentials();

- (AWSTask<NSDictionary<NSString*,NSString*> *> *) logins {
    //this is hardcoded for simplicity, normally you would asynchronously go to your SAML provider 
    //get the assertion and return the logins map using a AWSTaskCompletionSource
    return [AWSTask taskWithResult:@{@"arn:aws:iam::aws account id:saml-provider/name":@"base64 encoded assertion response"}];
}
 
// If SAML assertion contains multiple roles, resolve the role by setting the custom role.
// Implementing this is optional if there is only one role.
- (NSString *)customRoleArn {
    return @"arn:aws:iam::accountId:role/customRoleName";
}