Buat penyedia identitas OpenID Connect (OIDC) di IAM

1. Tentukan penyedia OIDC identitas Anda yang tersedia URL untuk umum. URLHarus dimulai dengan https://. Per the OIDC standard, path com ponent diperbolehkan tetapi parameter kueri tidak. Biasanya, hanya URL terdiri dari nama host, seperti https://server.example.org or https://example.com. URLSeharusnya tidak berisi nomor port.

2. Tambahkan /.well-known/openid-configuration ke akhir penyedia OIDC identitas Anda untuk melihat dokumen konfigurasi dan metadata penyedia yang tersedia URL untuk umum. Anda harus memiliki dokumen penemuan dalam JSON format dengan dokumen konfigurasi penyedia dan metadata yang dapat diambil dari titik akhir penemuan penyedia OpenID Connect. URL

3. Konfirmasikan bahwa nilai berikut disertakan dalam informasi konfigurasi penyedia Anda. Jika konfigurasi terbuka Anda tidak memiliki salah satu bidang ini, Anda harus memperbarui dokumen penemuan Anda. Proses ini dapat bervariasi berdasarkan penyedia identitas Anda, jadi ikuti dokumentasi IDP Anda untuk menyelesaikan tugas ini.

   • penerbit: URL Untuk domain Anda.

   • jwks_uri: Titik akhir JSON Web Key Set (JWKS) tempat IAM mendapatkan kunci publik Anda. Penyedia identitas Anda harus menyertakan titik akhir JSON Web Key Set (JWKS) dalam konfigurasi openid. Ini URI menentukan di mana mendapatkan kunci publik Anda yang digunakan untuk memverifikasi token yang ditandatangani dari penyedia identitas Anda.

   • claims_supported: Informasi tentang pengguna yang membantu Anda memastikan respons OIDC autentikasi dari IDP berisi atribut wajib yang AWS digunakan dalam IAM kebijakan untuk memeriksa izin bagi pengguna federasi. Untuk daftar kunci IAM kondisi yang dapat digunakan untuk klaim, lihatKunci yang tersedia untuk AWS OIDC federasi.

     • aud: Anda harus menentukan nilai klaim audiens masalah IDP Anda di JSON Web Tokens ()JWTs. Klaim audiens (aud) adalah aplikasi khusus dan mengidentifikasi penerima token yang dituju. Saat Anda mendaftarkan aplikasi seluler atau web dengan penyedia OpenID Connect, mereka membuat ID klien yang mengidentifikasi aplikasi. ID klien adalah pengenal unik untuk aplikasi Anda yang diteruskan dalam klaim aud untuk autentikasi. Klaim aud harus sesuai dengan nilai Audiens saat membuat penyedia IAM OIDC identitas Anda.

     • iat: Klaim harus menyertakan nilai untuk iat yang mewakili waktu token ID dikeluarkan.

     • iss: URL Penyedia identitas. URLHarus dimulai dengan https:// and should correspond to the Provider URL provided to IAM. Per the OIDC standard, path com ponent diperbolehkan tetapi parameter kueri tidak. Biasanya, hanya URL terdiri dari nama host, seperti https://server.example.org or https://example.com. URLSeharusnya tidak berisi nomor port.

   • response_types_supported: id_token

   • subject_types_supported: publik

   • id_token_signing_alg_values_supported: RS256

   catatan

   Anda dapat menyertakan klaim tambahan seperti kustom dalam contoh di bawah ini; namun, AWS STS akan mengabaikan klaim tersebut.

   {
     "issuer": "https://example-domain.com",
     "jwks_uri": "https://example-domain.com/jwks/keys",
     "claims_supported": [
       "aud",
       "iat",
       "iss",
       "name",
       "sub",
       "custom"
     ],
     "response_types_supported": [
       "id_token"
     ],
     "id_token_signing_alg_values_supported": [
       "RS256"
     ],
     "subject_types_supported": [
       "public"
     ]
   }

Untuk membuat penyedia IAM OIDC identitas (konsol)

1. Sebelum Anda membuat penyedia IAM OIDC identitas, Anda harus mendaftarkan aplikasi Anda dengan IDP untuk menerima ID klien. ID klien (juga dikenal sebagai audiens) adalah pengenal unik untuk aplikasi yang diberikan kepada Anda saat mendaftarkan aplikasi dengan IdP. Untuk informasi lebih lanjut tentang mendapatkan ID klien, lihat dokumentasi untuk IdP.

   catatan

   AWS mengamankan komunikasi dengan penyedia OIDC identitas (IdPs) menggunakan pustaka otoritas sertifikat root tepercaya (CAs) kami untuk memverifikasi sertifikat titik akhir JSON Web Key Set (JWKS). TLS Jika OIDC IDP Anda bergantung pada sertifikat yang tidak ditandatangani oleh salah satu dari tepercaya iniCAs, maka kami mengamankan komunikasi menggunakan cap jempol yang diatur dalam konfigurasi iDP. AWS akan kembali ke verifikasi sidik jari jika kami tidak dapat mengambil TLS sertifikat atau jika TLS v1.3 diperlukan.

2. Buka IAM konsol di https://console.aws.amazon.com/iam/.

3. Di panel navigasi, pilih Penyedia identitas, lalu pilih Tambahkan penyedia.

4. Untuk Konfigurasi penyedia, pilih OpenID Connect.

5. Untuk Provider URL, URL ketik IDP. URLHarus mematuhi batasan ini:

   • URLIni peka huruf besar/kecil.

   • URLHarus dimulai denganhttps://.

   • URLSeharusnya tidak berisi nomor port.

   • Di dalam Anda Akun AWS, setiap penyedia IAM OIDC identitas harus menggunakan yang unikURL. Jika Anda mencoba mengirimkan URL yang telah digunakan untuk penyedia OpenID Connect di Akun AWS, Anda akan mendapatkan kesalahan.

6. Untuk Audiens, ketikkan ID klien dari aplikasi yang Anda daftarkan dengan IDP dan terimaTahap 1, dan yang membuat permintaan. AWS Jika Anda memiliki klien tambahan IDs (juga dikenal sebagai audiens) untuk IDP ini, Anda dapat menambahkannya nanti di halaman detail penyedia.

   catatan

   Jika JWT token IDP Anda menyertakan azp klaim, masukkan nilai ini sebagai nilai Audiens.

   Jika penyedia OIDC identitas Anda menetapkan keduanya aud dan azp klaim dalam token, AWS STS akan menggunakan nilai dalam azp klaim sebagai aud klaim.

7. (Opsional) Untuk Menambahkan tag, Anda dapat menambahkan pasangan kunci-nilai untuk membantu Anda mengidentifikasi dan mengatur. IdPs Anda juga dapat menggunakan tanda untuk mengontrol akses ke sumber daya AWS . Untuk mempelajari lebih lanjut tentang menandai penyedia IAM OIDC identitas, lihatTandai OpenID Connect (OIDC) penyedia identitas. Pilih Tambahkan tanda. Masukkan nilai untuk setiap pasangan nilai-kunci tanda.

8. Verifikasi informasi yang telah Anda berikan. Setelah selesai, pilih Tambahkan penyedia. IAMakan mencoba mengambil dan menggunakan cap jempol CA perantara teratas dari sertifikat server iDP OIDC untuk membuat penyedia identitas. IAM OIDC

   catatan

   Rantai sertifikat penyedia OIDC identitas harus dimulai dengan domain atau penerbitURL, kemudian sertifikat perantara, dan diakhiri dengan sertifikat root. Jika urutan rantai sertifikat berbeda atau menyertakan duplikat atau sertifikat tambahan, maka Anda menerima kesalahan ketidakcocokan tanda tangan dan STS gagal memvalidasi Token JSON Web (). JWT Perbaiki urutan sertifikat dalam rantai yang dikembalikan dari server untuk menyelesaikan kesalahan. Untuk informasi selengkapnya tentang standar rantai sertifikat, lihat certificate_list di RFC 5246 di situs web Seri. RFC

9. Tetapkan IAM peran ke penyedia identitas Anda untuk memberikan identitas pengguna eksternal yang dikelola oleh izin penyedia identitas Anda untuk mengakses AWS sumber daya di akun Anda. Untuk mempelajari lebih lanjut tentang menciptakan peran untuk federasi identitas, lihat Buat peran untuk penyedia identitas pihak ketiga (federasi).

   catatan

   OIDC IdPs digunakan dalam kebijakan kepercayaan peran harus dalam akun yang sama dengan peran yang mempercayainya.

Untuk menambah atau menghapus sidik jari untuk penyedia IAM OIDC identitas (konsol)

1. Buka IAM konsol di https://console.aws.amazon.com/iam/.

2. Pada panel navigasi, silakan pilih Penyedia identitas. Kemudian pilih nama penyedia IAM identitas yang ingin Anda perbarui.

3. Pilih tab Verifikasi titik akhir, lalu di bagian Cetak Jempol, pilih Kelola. Untuk memasukkan nilai sidik jari baru, pilih Tambahkan sidik jari. Untuk menghapus sidik jari, pilih Hapus di samping sidik jari yang ingin Anda hapus.

   catatan

   Penyedia IAM OIDC identitas harus memiliki setidaknya satu dan dapat memiliki maksimal lima sidik jari.

   Setelah selesai, pilih Simpan perubahan.

Untuk menambahkan audiens untuk penyedia IAM OIDC identitas (konsol)

1. Di panel navigasi, pilih Penyedia identitas, lalu pilih nama penyedia IAM identitas yang ingin Anda perbarui.

2. Di bagian Audiens, pilih Tindakan dan pilih Tambahkan audiens.

3. Ketik ID klien dari aplikasi yang Anda daftarkan dengan IDP dan diterimaTahap 1, dan itu akan membuat permintaan untuk. AWS Lalu, pilih Tambahkan audiens.

   catatan

   Penyedia IAM OIDC identitas harus memiliki setidaknya satu dan dapat memiliki maksimal 100 pemirsa.

Untuk menghapus audiens untuk penyedia IAM OIDC identitas (konsol)

1. Di panel navigasi, pilih Penyedia identitas, lalu pilih nama penyedia IAM identitas yang ingin Anda perbarui.

2. Di bagian Audiens, pilih tombol radio di samping audiens yang ingin Anda hapus, lalu pilih Tindakan.

3. Pilih Hapus audiens. Jendela baru terbuka.

4. Jika Anda menghapus audiens, identitas yang bergabung dengan audiens tidak dapat mengambil peran yang terkait dengan audiens. Di jendela, baca peringatan dan konfirmasikan bahwa Anda ingin menghapus audiens dengan mengetikkan kata remove di bidangnya.

5. Pilih Hapus untuk menghapus audiens.

Untuk menghapus penyedia IAM OIDC identitas (konsol)

1. Buka IAM konsol di https://console.aws.amazon.com/iam/.

2. Pada panel navigasi, silakan pilih Penyedia identitas.

3. Pilih kotak centang di samping penyedia IAM identitas yang ingin Anda hapus. Jendela baru terbuka.

4. Konfirmasikan bahwa Anda ingin menghapus penyedia dengan mengetik kata delete di bidangnya. Lalu, pilih Hapus.

Untuk membuat penyedia IAM OIDC identitas (AWS CLI)

1. (Opsional) Untuk mendapatkan daftar semua penyedia IAM OIDC identitas di AWS akun Anda, jalankan perintah berikut:

   • aws iam list-open-id-connect-providers

2. Untuk membuat penyedia IAM OIDC identitas baru, jalankan perintah berikut:

   • aws iam create-open-id-connect-provider

Untuk memperbarui daftar cap jempol sertifikat server untuk penyedia IAM OIDC identitas yang ada ()AWS CLI

• Untuk memperbarui daftar cap jempol sertifikat server untuk penyedia IAM OIDC identitas, jalankan perintah berikut:

  • aws iam update-open-id-connect-provider-thumbprint

Untuk menandai penyedia IAM OIDC identitas yang ada (AWS CLI)

• Untuk menandai penyedia IAM OIDC identitas yang ada, jalankan perintah berikut:

  • aws iam tag-open-id-connect-provider

Untuk mencantumkan tag untuk penyedia IAM OIDC identitas yang ada (AWS CLI)

• Untuk membuat daftar tag untuk penyedia IAM OIDC identitas yang ada, jalankan perintah berikut:

  • aws iam list-open-id-connect-provider-tags

Untuk menghapus tag pada penyedia IAM OIDC identitas (AWS CLI)

• Untuk menghapus tag pada penyedia IAM OIDC identitas yang ada, jalankan perintah berikut:

  • aws iam untag-open-id-connect-provider

Untuk menambah atau menghapus ID klien dari penyedia IAM OIDC identitas yang ada (AWS CLI)

1. (Opsional) Untuk mendapatkan daftar semua penyedia IAM OIDC identitas di AWS akun Anda, jalankan perintah berikut:

   • aws iam list-open-id-connect-providers

2. (Opsional) Untuk mendapatkan informasi rinci tentang penyedia IAM OIDC identitas, jalankan perintah berikut:

   • aws iam get-open-id-connect-provider

3. Untuk menambahkan ID klien baru ke penyedia IAM OIDC identitas yang ada, jalankan perintah berikut:

   • aws iam add-client-id-to-open-id-connect-provider

4. Untuk menghapus klien dari penyedia IAM OIDC identitas yang ada, jalankan perintah berikut:

   • aws iam remove-client-id-from-open-id-connect-provider

Untuk menghapus penyedia IAM OIDC identitas (AWS CLI)

1. (Opsional) Untuk mendapatkan daftar semua penyedia IAM OIDC identitas di AWS akun Anda, jalankan perintah berikut:

   • aws iam list-open-id-connect-providers

2. (Opsional) Untuk mendapatkan informasi rinci tentang penyedia IAM OIDC identitas, jalankan perintah berikut:

   • aws iam get-open-id-connect-provider

3. Untuk menghapus penyedia IAM OIDC identitas, jalankan perintah berikut:

   • aws iam delete-open-id-connect-provider

Untuk membuat penyedia IAM OIDC identitas (AWS API)

1. (Opsional) Untuk mendapatkan daftar semua penyedia IAM OIDC identitas di AWS akun Anda, hubungi operasi berikut:

   • ListOpenIDConnectProviders

2. Untuk membuat penyedia IAM OIDC identitas baru, hubungi operasi berikut:

   • CreateOpenIDConnectProvider

Untuk memperbarui daftar cap jempol sertifikat server untuk penyedia IAM OIDC identitas yang ada ()AWS API

• Untuk memperbarui daftar cap jempol sertifikat server untuk penyedia IAM OIDC identitas, hubungi operasi berikut:

  • UpdateOpenIDConnectProviderThumbprint

Untuk menandai penyedia IAM OIDC identitas yang ada (AWS API)

• Untuk menandai penyedia IAM OIDC identitas yang ada, hubungi operasi berikut:

  • TagOpenIDConnectProvider

Untuk mencantumkan tag untuk penyedia IAM OIDC identitas yang ada (AWS API)

• Untuk mencantumkan tag untuk penyedia IAM OIDC identitas yang ada, panggil operasi berikut:

  • ListOpenIDConnectProviderTags

Untuk menghapus tag pada penyedia IAM OIDC identitas yang ada (AWS API)

• Untuk menghapus tag pada penyedia IAM OIDC identitas yang ada, panggil operasi berikut:

  • UntagOpenIDConnectProvider

Untuk menambah atau menghapus ID klien dari penyedia IAM OIDC identitas yang ada (AWS API)

1. (Opsional) Untuk mendapatkan daftar semua penyedia IAM OIDC identitas di AWS akun Anda, hubungi operasi berikut:

   • ListOpenIDConnectProviders

2. (Opsional) Untuk mendapatkan informasi rinci tentang penyedia IAM OIDC identitas, hubungi operasi berikut:

   • GetOpenIDConnectProvider

3. Untuk menambahkan ID klien baru ke penyedia IAM OIDC identitas yang ada, panggil operasi berikut ini:

   • AddClientIDToOpenIDConnectProvider

4. Untuk menghapus ID klien dari penyedia IAM OIDC identitas yang ada, panggil operasi berikut:

   • RemoveClientIDFromOpenIDConnectProvider

Untuk menghapus penyedia IAM OIDC identitas (AWS API)

1. (Opsional) Untuk mendapatkan daftar semua penyedia IAM OIDC identitas di AWS akun Anda, hubungi operasi berikut:

   • ListOpenIDConnectProviders

2. (Opsional) Untuk mendapatkan informasi rinci tentang penyedia IAM OIDC identitas, hubungi operasi berikut:

   • GetOpenIDConnectProvider

3. Untuk menghapus penyedia IAM OIDC identitas, hubungi operasi berikut:

   • DeleteOpenIDConnectProvider