Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Accès par authentification unique aux applications SAML 2.0 et OAuth 2.0

IAM Identity Center vous permet de fournir à vos utilisateurs un accès par authentification unique aux applications SAML 2.0 ou OAuth 2.0. Les rubriques suivantes fournissent une vue d'ensemble de haut niveau de SAML 2.0 et OAuth 2.0.

SAML 2.0

SAML 2.0 est une norme industrielle utilisée pour échanger en toute sécurité des assertions SAML qui transmettent des informations sur un utilisateur entre une autorité SAML (appelée fournisseur d'identité ou IdP) et un consommateur SAML 2.0 (appelé fournisseur de services ou SP). IAM Identity Center utilise ces informations pour fournir un accès unique fédéré aux utilisateurs autorisés à utiliser les applications du AWS portail d'accès.

OAuth 2.0

OAuth 2.0 est un protocole qui permet aux applications d'accéder aux données des utilisateurs et de les partager en toute sécurité sans partager de mots de passe. Cette fonctionnalité fournit aux utilisateurs un moyen sécurisé et standardisé d'autoriser les applications à accéder à leurs ressources. L'accès est facilité par différents flux de subventions OAuth 2.0.

IAM Identity Center permet aux applications qui s'exécutent sur des clients publics de récupérer des informations d'identification temporaires pour accéder Comptes AWS aux services fournis par programmation pour le compte de leurs utilisateurs. Les clients publics sont généralement des ordinateurs de bureau, des ordinateurs portables ou d'autres appareils mobiles utilisés pour exécuter des applications localement. Parmi les exemples d' AWS applications qui s'exécutent sur des clients publics AWS Toolkit, citons les AWS Command Line Interface (AWS CLI) et les kits de développement AWS logiciel (SDK). Pour permettre à ces applications d'obtenir des informations d'identification, IAM Identity Center prend en charge certaines parties des flux OAuth 2.0 suivants :

OpenID Connect (OIDC) est un protocole d'authentification basé sur le framework OAuth 2.0. L'OIDC indique comment utiliser OAuth 2.0 pour l'authentification. Par le biais des API du service OIDC d'IAM Identity Center, une application enregistre un client OAuth 2.0 et utilise l'un de ces flux pour obtenir un jeton d'accès qui fournit des autorisations aux API protégées par IAM Identity Center. Une application spécifie des étendues d'accès pour déclarer l'utilisateur d'API auquel elle est destinée. Une fois que vous, en tant qu'administrateur IAM Identity Center, avez configuré votre source d'identité, les utilisateurs finaux de votre application doivent terminer un processus de connexion, s'ils ne l'ont pas déjà fait. Vos utilisateurs finaux doivent ensuite donner leur consentement pour permettre à l'application d'effectuer des appels d'API. Ces appels d'API sont effectués à l'aide des autorisations des utilisateurs. En réponse, IAM Identity Center renvoie un jeton d'accès à l'application qui contient les étendues d'accès auxquelles les utilisateurs ont consenti.

Utilisation d'un flux de subventions OAuth 2.0

Les flux de subventions OAuth 2.0 ne sont disponibles que via les applications AWS gérées qui les prennent en charge. Pour utiliser un flux OAuth 2.0, votre instance d'IAM Identity Center et toutes les applications AWS gérées prises en charge que vous utilisez doivent être déployées en une seule fois. Région AWS Reportez-vous à la documentation de chaque application Service AWS pour déterminer la disponibilité régionale des applications AWS gérées et de l'instance d'IAM Identity Center que vous souhaitez utiliser.

Pour utiliser une application qui utilise un flux OAuth 2.0, l'utilisateur final doit saisir l'URL à laquelle l'application se connectera et s'enregistrera auprès de votre instance d'IAM Identity Center. En fonction de l'application, en tant qu'administrateur, vous devez fournir à vos utilisateurs l'URL du portail AWS d'accès ou l'URL de l'émetteur de votre instance d'IAM Identity Center. Vous trouverez ces deux paramètres sur la page des paramètres de la console https://console.aws.amazon.com/singlesignon/ IAM Identity Center. Pour plus d'informations sur la configuration d'une application cliente, consultez la documentation de cette application.

L'expérience de l'utilisateur final en matière de connexion à une application et de fourniture de son consentement dépend du fait que l'application utilise le Octroi de code d'autorisation avec PKCE ouOctroi d'autorisation d'appareil.

Octroi de code d'autorisation avec PKCE

Ce flux est utilisé par les applications qui s'exécutent sur un appareil doté d'un navigateur.

Octroi d'autorisation d'appareil

Ce flux peut être utilisé par les applications qui s'exécutent sur un appareil avec ou sans navigateur. Lorsque l'application lance le flux, l'application présente une URL et un code utilisateur que l'utilisateur doit vérifier ultérieurement dans le flux. Le code utilisateur est nécessaire car l'application qui lance le flux peut être exécutée sur un appareil différent de celui sur lequel l'utilisateur donne son consentement. Le code garantit que l'utilisateur accepte le flux qu'il a initié sur l'autre appareil.

Périmètres d'accès

Une étendue définit l'accès à un service accessible via un flux OAuth 2.0. Les étendues permettent au service, également appelé serveur de ressources, de regrouper les autorisations liées aux actions et aux ressources du service, et elles spécifient les opérations grossières que les clients OAuth 2.0 peuvent demander. Lorsqu'un client OAuth 2.0 s'enregistre auprès du service OIDC d'IAM Identity Center, le client spécifie les étendues pour déclarer ses actions prévues, pour lesquelles l'utilisateur doit donner son consentement.

Les clients OAuth 2.0 utilisent scope les valeurs définies dans la section 3.3 d'OAuth 2.0 (RFC 6749) pour spécifier les autorisations demandées pour un jeton d'accès. Les clients peuvent spécifier un maximum de 25 étendues lorsqu'ils demandent un jeton d'accès. Lorsqu'un utilisateur donne son consentement lors d'une attribution de code d'autorisation avec le flux PKCE ou Device Authorization Grant, IAM Identity Center code les étendues dans le jeton d'accès qu'il renvoie.

AWS ajoute des étendues à IAM Identity Center pour les personnes prises en charge. Services AWS Le tableau suivant répertorie les étendues prises en charge par le service OIDC IAM Identity Center lorsque vous enregistrez un client public.

Étendues d'accès prises en charge par le service OIDC d'IAM Identity Center lors de l'enregistrement d'un client public