General/Custom Exigences d'autorisation pour les développeurs de connecteurs

L'autorisation générale permet à votre connecteur d'utiliser des informations d'identification (telles que des clés d'API, des jetons ou des username/password combinaisons) au lieu de jetons utilisateur OAuth 2.0. Contrairement à OAuth 2.0, qui fournit une autorisation au niveau de l'utilisateur par le biais de la liaison de comptes, l'autorisation générale permet à un seul ensemble d'informations d'identification de contrôler les appareils de plusieurs utilisateurs finaux.

Cette section explique comment implémenter la prise en charge des autorisations générales dans votre AWS Lambda fonction de connecteur. Si vous êtes un client qui configure l'autorisation générale pour un connecteur existant, consultezGeneral/Custom Exigences en matière d'autorisation.

Qu'est-ce que l'autorisation générale ?

L'autorisation générale est tout mécanisme d'autorisation non OAuth qui permet à votre connecteur d'autoriser des plateformes tierces à l'aide des informations d'identification du client. Avec l'autorisation générale, Managed Integrations délègue la gestion des informations d'identification à votre connecteur, et un seul ensemble d'informations d'identification peut contrôler les appareils de plusieurs utilisateurs finaux.

Cela est utile pour les scénarios dans lesquels vous entretenez une relation commerciale avec le fournisseur de l'appareil et devez gérer les appareils à grande échelle sans flux d'autorisation utilisateur individuels.

Quand utiliser l'autorisation générale

Envisagez d'implémenter la prise en charge des autorisations générales dans votre connecteur lorsque :

Utilisation de l'autorisation générale AWS Secrets Manager

AWS Secrets Manager est un service de stockage secret qui protège les informations d'identification sensibles telles que les clés API et les jetons. Les secrets sont chiffrés à l'aide de AWS Key Management Service clés. Pour plus d’informations, consultez le Guide de l’utilisateur AWS Secrets Manager.

Pour l'autorisation générale, les clients stockent les informations d'autorisation dans Secrets Manager et accordent à votre connecteur C2C l'autorisation d'accéder à ces secrets. Lorsque les intégrations gérées invoquent votre connecteur, celui-ci fournit l'ARN et l'ID de version de Secrets Manager dans l'en-tête de la demande. Votre connecteur récupère la valeur secrète et l'utilise pour l'autoriser auprès de la plateforme tierce.

Cette approche garantit que les intégrations gérées ne traitent jamais directement les informations d'identification à long terme. Votre connecteur conserve le contrôle total de la gestion des informations d'identification et de la génération de jetons, ce qui rend la solution extensible à tout mécanisme d'autorisation pris en charge par votre plateforme tierce.

Format de demande d'autorisation générale

Lorsque Managed Integrations invoque votre connecteur pour une association de comptes d'autorisation générale, l'en-tête de la demande contient une AWS Secrets Manager référence au lieu d'un jeton OAuth. La structure de demande est cohérente pour toutes les opérations du connecteur (AWS.ActivateUserAWS.DiscoverDevices,AWS.SendCommand, etAWS.DeactivateUser).

{
  "header": {
    "auth": {
      "secretsManager": {
        "arn": "arn:aws:secretsmanager:us-east-1:123456789012:secret:my-api-key-AbCdEf",
        "versionId": "a1b2c3d4-5678-90ab-cdef-1234567890ab"
      },
      "type": "GeneralAuthorization"
    }
  },
  "payload": {
    "operationName": "AWS.DiscoverDevices",
    "operationVersion": "1.0",
    "connectorId": "Your-Connector-Id",
    ...
  }
}

{
  "header": {
    "auth": {
      "token": "ashriu32yr97feqy7afsaf",
      "type": "OAuth2.0"
    }
  },
  "payload": {
    "operationName": "AWS.DiscoverDevices",
    "operationVersion": "1.0",
    "connectorId": "Your-Connector-Id",
    ...
  }
}

Flux de travail d'autorisation générale

Lorsque votre connecteur reçoit une demande d'autorisation générale, suivez ce flux de travail :

Autorisations Lambda pour GeneralAuthorization

Votre rôle d'exécution Lambda du connecteur doit être autorisé à récupérer les secrets auprès du client. AWS Secrets Manager Ajoutez les autorisations suivantes à votre politique de rôle d'exécution Lambda :

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "secretsmanager:GetSecretValue"
      ],
      "Resource": "arn:aws:secretsmanager:*:*:secret:*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "kms:Decrypt"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "kms:ViaService": "secretsmanager.*.amazonaws.com"
        }
      }
    }
  ]
}

Explication de l'autorisation

Le client accordera également à votre Lambda l'autorisation d'accéder à son secret spécifique par le biais de la politique de ressources du secret.