Buat penyedia identitas OpenID Connect (OIDC) di IAM

1. Tentukan penyedia OIDC identitas Anda yang tersedia URL untuk umum. URLHarus dimulai dengan https://. Per the OIDC standard, path com ponent diperbolehkan tetapi parameter kueri tidak. Biasanya, hanya URL terdiri dari nama host, seperti https://server.example.org or https://example.com. URLSeharusnya tidak berisi nomor port.

2. Tambahkan /.well-known/openid-configuration ke akhir penyedia OIDC identitas Anda untuk melihat dokumen konfigurasi dan metadata penyedia yang tersedia URL untuk umum. Anda harus memiliki dokumen penemuan dalam JSON format dengan dokumen konfigurasi penyedia dan metadata yang dapat diambil dari titik akhir penemuan penyedia OpenID Connect. URL

3. Konfirmasikan bahwa nilai berikut disertakan dalam informasi konfigurasi penyedia Anda. Jika konfigurasi terbuka Anda tidak memiliki salah satu bidang ini, Anda harus memperbarui dokumen penemuan Anda. Proses ini dapat bervariasi berdasarkan penyedia identitas Anda, jadi ikuti dokumentasi IDP Anda untuk menyelesaikan tugas ini.

   • penerbit: URL Untuk domain Anda.

   • jwks_uri: Titik akhir JSON Web Key Set (JWKS) tempat IAM mendapatkan kunci publik Anda. Penyedia identitas Anda harus menyertakan titik akhir JSON Web Key Set (JWKS) dalam konfigurasi openid. Ini URI menentukan di mana mendapatkan kunci publik Anda yang digunakan untuk memverifikasi token yang ditandatangani dari penyedia identitas Anda.

   • claims_supported: Informasi tentang pengguna yang membantu Anda memastikan respons OIDC autentikasi dari IdP berisi atribut wajib yang AWS digunakan dalam IAM kebijakan untuk memeriksa izin bagi pengguna gabungan. Untuk daftar kunci IAM kondisi yang dapat digunakan untuk klaim, lihatKunci yang tersedia untuk AWS OIDC federasi.

     • aud: Anda harus menentukan nilai klaim audiens masalah IDP Anda di JSON Web Tokens ()JWTs. Klaim audiens (aud) adalah aplikasi khusus dan mengidentifikasi penerima token yang dituju. Saat Anda mendaftarkan aplikasi seluler atau web dengan penyedia OpenID Connect, mereka membuat ID klien yang mengidentifikasi aplikasi. ID klien adalah pengenal unik untuk aplikasi Anda yang diteruskan dalam klaim aud untuk autentikasi. Klaim aud harus sesuai dengan nilai Audiens saat membuat penyedia IAM OIDC identitas Anda.

     • iat: Klaim harus menyertakan nilai untuk iat yang mewakili waktu token ID dikeluarkan.

     • iss: URL Penyedia identitas. URLHarus dimulai dengan https:// and should correspond to the Provider URL provided to IAM. Per the OIDC standard, path com ponent diperbolehkan tetapi parameter kueri tidak. Biasanya, hanya URL terdiri dari nama host, seperti https://server.example.org or https://example.com. URLSeharusnya tidak berisi nomor port.

   • response_types_supported: id_token

   • subject_types_supported: publik

   • id_token_signing_alg_values_supported:,,,,, RS256 RS384 RS512 ES256 ES384 ES512

   catatan

   Anda dapat menyertakan klaim tambahan seperti my_custom_claim pada contoh di bawah ini; namun, AWS STS akan mengabaikan klaim tersebut.

   {
     "issuer": "https://example-domain.com",
     "jwks_uri": "https://example-domain.com/jwks/keys",
     "claims_supported": [
       "aud",
       "iat",
       "iss",
       "name",
       "sub",
       "my_custom_claim"
     ],
     "response_types_supported": [
       "id_token"
     ],
     "id_token_signing_alg_values_supported": [
       "RS256",
       "RS384",
       "RS512",
       "ES256",
       "ES384",
       "ES512"
     ],
     "subject_types_supported": [
       "public"
     ]
   }

Untuk membuat penyedia IAM OIDC identitas (konsol)

1. Sebelum membuat penyedia IAM OIDC identitas, Anda harus mendaftarkan aplikasi dengan IdP untuk menerima ID klien. ID klien (juga dikenal sebagai audiens) adalah pengenal unik untuk aplikasi yang diberikan kepada Anda saat mendaftarkan aplikasi dengan IdP. Untuk informasi lebih lanjut tentang mendapatkan ID klien, lihat dokumentasi untuk IdP.

   catatan

   AWS mengamankan komunikasi dengan penyedia OIDC identitas (IdPs) menggunakan pustaka otoritas sertifikat root tepercaya (CAs) kami untuk memverifikasi sertifikat titik akhir JSON Web Key Set (JWKS). TLS Jika OIDC IDP Anda bergantung pada sertifikat yang tidak ditandatangani oleh salah satu dari tepercaya iniCAs, maka kami mengamankan komunikasi menggunakan cap jempol yang diatur dalam konfigurasi iDP. AWS akan kembali ke verifikasi sidik jari jika kami tidak dapat mengambil TLS sertifikat atau jika TLS v1.3 diperlukan.

2. Buka IAM konsol di https://console.aws.amazon.com/iam/.

3. Di panel navigasi, pilih Penyedia identitas, lalu pilih Tambahkan penyedia.

4. Untuk Konfigurasi penyedia, pilih OpenID Connect.

5. Untuk Provider URL, URL ketik IDP. URLHarus mematuhi pembatasan ini:

   • URLIni peka terhadap huruf besar-kecil.

   • URLHarus dimulai denganhttps://.

   • URLSeharusnya tidak berisi nomor port.

   • Di dalam Anda Akun AWS, setiap penyedia IAM OIDC identitas harus menggunakan yang unikURL. Jika Anda mencoba mengirimkan URL yang telah digunakan untuk penyedia OpenID Connect di Akun AWS, Anda akan mendapatkan kesalahan.

6. Untuk Audiens, ketik ID klien dari aplikasi yang Anda daftarkan dengan IdP dan diterima dalamTahap 1, dan itu membuat permintaan ke. AWS Jika memiliki klien tambahan IDs (juga dikenal sebagai audiens) untuk IdP ini, Anda dapat menambahkannya nanti di halaman detail penyedia.

   catatan

   Jika JWT token IDP Anda menyertakan azp klaim, masukkan nilai ini sebagai nilai Audiens.

   Jika penyedia OIDC identitas Anda menetapkan keduanya aud dan azp klaim dalam token, AWS STS akan menggunakan nilai dalam azp klaim sebagai aud klaim.

7. (Opsional) Untuk Menambahkan tanda, Anda dapat menambahkan pasangan nilai-kunci guna membantu mengidentifikasi dan mengelola. IdPs Anda juga dapat menggunakan tanda untuk mengontrol akses ke sumber daya AWS . Untuk mempelajari lebih lanjut tentang menandai penyedia IAM OIDC identitas, lihatTandai OpenID Connect (OIDC) penyedia identitas. Pilih Tambahkan tanda. Masukkan nilai untuk setiap pasangan nilai-kunci tanda.

8. Verifikasi informasi yang telah Anda berikan. Setelah selesai, pilih Tambahkan penyedia. IAMakan mencoba mengambil dan menggunakan cap jempol CA perantara teratas dari sertifikat server iDP OIDC untuk membuat penyedia identitas. IAM OIDC

   catatan

   Rantai sertifikat penyedia OIDC identitas harus dimulai dengan domain atau penerbitURL, kemudian sertifikat perantara, dan diakhiri dengan sertifikat root. Jika urutan rantai sertifikat berbeda atau menyertakan duplikat atau sertifikat tambahan, maka Anda menerima kesalahan ketidakcocokan tanda tangan dan STS gagal memvalidasi Token JSON Web (). JWT Perbaiki urutan sertifikat dalam rantai yang dikembalikan dari server untuk menyelesaikan kesalahan. Untuk informasi selengkapnya tentang standar rantai sertifikat, lihat certificate_list di RFC 5246 di situs web Seri. RFC

9. Tugaskan IAM peran ke penyedia identitas Anda untuk memberikan identitas pengguna eksternal yang dikelola oleh izin penyedia identitas Anda untuk mengakses AWS sumber daya di akun Anda. Untuk mempelajari lebih lanjut tentang menciptakan peran untuk federasi identitas, lihat Buat peran untuk penyedia identitas pihak ketiga (federasi).

   catatan

   OIDC IdPs digunakan dalam kebijakan kepercayaan peran harus dalam akun yang sama dengan peran yang mempercayainya.

Untuk menambahkan atau menghapus sidik jari penyedia IAM OIDC identitas (konsol)

1. Buka IAM konsol di https://console.aws.amazon.com/iam/.

2. Pada panel navigasi, silakan pilih Penyedia identitas. Kemudian pilih nama penyedia IAM identitas yang ingin Anda perbarui.

3. Pilih tab Verifikasi titik akhir, lalu di bagian Cetak Jempol, pilih Kelola. Untuk memasukkan nilai sidik jari baru, pilih Tambahkan sidik jari. Untuk menghapus sidik jari, pilih Hapus di samping sidik jari yang ingin Anda hapus.

   catatan

   Seorang penyedia IAM OIDC identitas harus memiliki setidaknya satu dan dapat memiliki maksimal lima sidik jari.

   Setelah selesai, pilih Simpan perubahan.

Untuk menambahkan audiens untuk penyedia IAM OIDC identitas (konsol)

1. Di panel navigasi, pilih Penyedia identitas, kemudian pilih nama penyedia IAM identitas yang ingin Anda perbarui.

2. Di bagian Audiens, pilih Tindakan dan pilih Tambahkan audiens.

3. Ketik ID klien dari aplikasi yang Anda daftarkan dengan IdP dan diterima dalamTahap 1, dan itu akan membuat permintaan ke. AWS Lalu, pilih Tambahkan audiens.

   catatan

   Seorang penyedia IAM OIDC identitas harus memiliki setidaknya satu dan dapat memiliki maksimal 100 audiens.

Untuk menghapus audiens untuk penyedia IAM OIDC identitas (konsol)

1. Di panel navigasi, pilih Penyedia identitas, kemudian pilih nama penyedia IAM identitas yang ingin Anda perbarui.

2. Di bagian Audiens, pilih tombol radio di samping audiens yang ingin Anda hapus, lalu pilih Tindakan.

3. Pilih Hapus audiens. Jendela baru terbuka.

4. Jika Anda menghapus audiens, identitas yang bergabung dengan audiens tidak dapat mengambil peran yang terkait dengan audiens. Di jendela, baca peringatan dan konfirmasikan bahwa Anda ingin menghapus audiens dengan mengetikkan kata remove di bidangnya.

5. Pilih Hapus untuk menghapus audiens.

Untuk menghapus penyedia IAM OIDC identitas (konsol)

1. Buka IAM konsol di https://console.aws.amazon.com/iam/.

2. Pada panel navigasi, silakan pilih Penyedia identitas.

3. Pilih kotak centang di samping penyedia IAM identitas yang ingin Anda hapus. Jendela baru terbuka.

4. Konfirmasikan bahwa Anda ingin menghapus penyedia dengan mengetik kata delete di bidangnya. Lalu, pilih Hapus.

Untuk membuat penyedia IAM OIDC identitas (AWS CLI)

1. (Opsional) Untuk mendapatkan daftar semua penyedia IAM OIDC identitas di AWS akun Anda, jalankan perintah berikut:

   • aws iam list-open-id-connect-providers

2. Untuk membuat penyedia IAM OIDC identitas baru, jalankan perintah berikut:

   • aws iam create-open-id-connect-provider

Untuk memperbarui daftar sidik jari sertifikat server untuk penyedia IAM OIDC identitas yang sudah ada ()AWS CLI

• Untuk memperbarui daftar sidik jari sertifikat server untuk penyedia IAM OIDC identitas, jalankan perintah berikut:

  • aws iam update-open-id-connect-provider-thumbprint

Untuk menandai penyedia IAM OIDC identitas yang ada (AWS CLI)

• Untuk menandai penyedia IAM OIDC identitas yang sudah ada, jalankan perintah berikut:

  • aws iam tag-open-id-connect-provider

Untuk mencantumkan tag untuk penyedia IAM OIDC identitas yang ada (AWS CLI)

• Untuk membuat daftar tanda penyedia IAM OIDC identitas yang sudah ada, jalankan perintah berikut:

  • aws iam list-open-id-connect-provider-tags

Untuk menghapus tag pada penyedia IAM OIDC identitas (AWS CLI)

• Untuk menghapus tanda penyedia IAM OIDC identitas yang sudah ada, jalankan perintah berikut:

  • aws iam untag-open-id-connect-provider

Untuk menambahkan atau menghapus ID klien dari penyedia IAM OIDC identitas yang sudah ada (AWS CLI)

1. (Opsional) Untuk mendapatkan daftar semua penyedia IAM OIDC identitas di AWS akun Anda, jalankan perintah berikut:

   • aws iam list-open-id-connect-providers

2. (Opsional) Untuk mendapatkan informasi detail tentang penyedia IAM OIDC identitas, jalankan perintah berikut:

   • aws iam get-open-id-connect-provider

3. Untuk menambahkan ID klien baru ke penyedia IAM OIDC identitas yang sudah ada, jalankan perintah berikut:

   • aws iam add-client-id-to-open-id-connect-provider

4. Untuk menghapus klien dari penyedia IAM OIDC identitas yang sudah ada, jalankan perintah berikut:

   • aws iam remove-client-id-from-open-id-connect-provider

Untuk menghapus penyedia IAM OIDC identitas (AWS CLI)

1. (Opsional) Untuk mendapatkan daftar semua penyedia IAM OIDC identitas di AWS akun Anda, jalankan perintah berikut:

   • aws iam list-open-id-connect-providers

2. (Opsional) Untuk mendapatkan informasi detail tentang penyedia IAM OIDC identitas, jalankan perintah berikut:

   • aws iam get-open-id-connect-provider

3. Untuk menghapus penyedia IAM OIDC identitas, jalankan perintah berikut:

   • aws iam delete-open-id-connect-provider

Untuk membuat penyedia IAM OIDC identitas (AWS API)

1. (Opsional) Untuk mendapatkan daftar semua penyedia IAM OIDC identitas di AWS akun Anda, panggil operasi berikut:

   • ListOpenIDConnectProviders

2. Untuk membuat penyedia IAM OIDC identitas baru, panggil operasi berikut:

   • CreateOpenIDConnectProvider

Untuk memperbarui daftar sidik jari sertifikat server untuk penyedia IAM OIDC identitas yang sudah ada ()AWS API

• Untuk memperbarui daftar sidik jari sertifikat server untuk penyedia IAM OIDC identitas, panggil operasi berikut:

  • UpdateOpenIDConnectProviderThumbprint

Untuk menandai penyedia IAM OIDC identitas yang ada (AWS API)

• Untuk menandai penyedia IAM OIDC identitas yang sudah ada, panggil operasi berikut:

  • TagOpenIDConnectProvider

Untuk mencantumkan tag untuk penyedia IAM OIDC identitas yang ada (AWS API)

• Untuk membuat daftar tanda penyedia IAM OIDC identitas yang sudah ada, panggil operasi berikut:

  • ListOpenIDConnectProviderTags

Untuk menghapus tag pada penyedia IAM OIDC identitas yang ada (AWS API)

• Untuk menghapus tanda penyedia IAM OIDC identitas yang sudah ada, panggil operasi berikut:

  • UntagOpenIDConnectProvider

Untuk menambahkan atau menghapus ID klien dari penyedia IAM OIDC identitas yang sudah ada (AWS API)

1. (Opsional) Untuk mendapatkan daftar semua penyedia IAM OIDC identitas di AWS akun Anda, panggil operasi berikut:

   • ListOpenIDConnectProviders

2. (Opsional) Untuk mendapatkan informasi detail tentang penyedia IAM OIDC identitas, panggil operasi berikut:

   • GetOpenIDConnectProvider

3. Untuk menambahkan ID klien baru ke penyedia IAM OIDC identitas yang sudah ada, panggil operasi berikut:

   • AddClientIDToOpenIDConnectProvider

4. Untuk menghapus ID klien dari penyedia IAM OIDC identitas yang ada, panggil operasi berikut:

   • RemoveClientIDFromOpenIDConnectProvider

Untuk menghapus penyedia IAM OIDC identitas (AWS API)

1. (Opsional) Untuk mendapatkan daftar semua penyedia IAM OIDC identitas di AWS akun Anda, panggil operasi berikut:

   • ListOpenIDConnectProviders

2. (Opsional) Untuk mendapatkan informasi detail tentang penyedia IAM OIDC identitas, panggil operasi berikut:

   • GetOpenIDConnectProvider

3. Untuk menghapus penyedia IAM OIDC identitas, panggil operasi berikut:

   • DeleteOpenIDConnectProvider