Menggunakan penyedia OIDC identitas dengan kumpulan pengguna

Untuk mendaftar dengan OIDC IDP

1. Buat akun pengembang dengan OIDC IDP.

   Tautan ke OIDC IdPs

   OIDCiDP	Cara Menginstal	OIDCPenemuan URL
   Salesforce	Instal penyedia identitas Salesforce	https://login.salesforce.com
   Identitas Ping	Instal penyedia identitas Ping Identity	https://Your Ping domain address:9031/idp/userinfo.openid Misalnya: https://pf.company.com:9031/idp/userinfo.openid
   Okta	Instal penyedia identitas Okta	https://Your Okta subdomain.oktapreview.com atau https://Your Okta subdomain.okta.com
   Microsoft Azure Active Directory (Azure AD)	Instal penyedia identitas Microsoft Azure AD	https://login.microsoftonline.com/{tenant}/v2.0
   Google	Instal penyedia identitas Google	https://accounts.google.com catatan Amazon Cognito menawarkan Google sebagai IdP masuk sosial yang terintegrasi. Sebaiknya Anda menggunakan IdP terintegrasi. Lihat Menggunakan penyedia identitas sosial dengan kumpulan pengguna.

2. Daftarkan domain pool pengguna Anda URL dengan /oauth2/idpresponse endpoint dengan OIDC IDP Anda. Ini memastikan bahwa OIDC IDP kemudian menerimanya dari Amazon Cognito saat mengautentikasi pengguna.

   https://mydomain.us-east-1.amazoncognito.com/oauth2/idpresponse

3. Daftarkan callback Anda URL dengan kumpulan pengguna Amazon Cognito Anda. Ini adalah halaman tempat Amazon Cognito mengalihkan pengguna Anda setelah otentikasi berhasil. URL

   https://www.example.com

4. Pilih cakupan Anda. Cakupan openid diperlukan. Cakupan email diperlukan untuk memberikan akses ke klaim email dan email_verified.

5. OIDCIDP memberi Anda ID klien dan rahasia klien. Anda akan menggunakannya saat menyiapkan OIDC iDP di kumpulan pengguna Anda.

Contoh: Gunakan Salesforce sebagai OIDC IDP dengan kumpulan pengguna Anda

Anda menggunakan OIDC iDP ketika Anda ingin membangun kepercayaan antara iDP OIDC -kompatibel seperti Salesforce dan kumpulan pengguna Anda.

1. Buat akun di situs web Developer Salesforce.

2. Masuk melalui akun developer yang Anda siapkan di langkah sebelumnya.

3. Dari halaman Salesforce Anda, lakukan salah satu hal berikut:

   • Jika Anda menggunakan Lightning Experience, pilih ikon setup gear, lalu pilih Setup Home.

   • Jika Anda menggunakan Salesforce Classic dan Anda melihat Penyiapan di header antarmuka pengguna, pilih itu.

   • Jika Anda menggunakan Salesforce Classic dan Anda tidak melihat Penyiapan di header, pilih nama Anda dari bilah navigasi atas, lalu pilih Penyiapan dari daftar tarik-turun.

4. Di bilah navigasi kiri, pilih Pengaturan Perusahaan.

5. Pada bilah navigasi, pilih Domain, masukkan domain, dan pilih Buat.

6. Di bilah navigasi kiri, di bawah Alat Platform, pilih Aplikasi.

7. Pilih Pengelola Aplikasi.

8. 1. Pilih Aplikasi baru yang terhubung.

   2. Lengkapi bidang yang diperlukan.

      Di bawah Mulai URL, masukkan URL /authorize titik akhir untuk domain kumpulan pengguna yang masuk dengan IDP Salesforce Anda. Saat pengguna mengakses aplikasi yang terhubung, Salesforce mengarahkan mereka ke aplikasi ini URL untuk menyelesaikan proses masuk. Kemudian Salesforce mengarahkan pengguna ke callback URL yang telah Anda kaitkan dengan klien aplikasi Anda.

      https://mydomain.us-east-1.amazoncognito.com/authorize?response_type=code&client_id=<your_client_id>&redirect_uri=https://www.example.com&identity_provider=CorpSalesforce

   3. Aktifkan OAuthpengaturan dan masukkan /oauth2/idpresponse titik URL akhir untuk domain kumpulan pengguna Anda di Callback URL. URLDi sinilah Salesforce mengeluarkan kode otorisasi yang ditukar Amazon Cognito dengan token. OAuth

      https://mydomain.us-east-1.amazoncognito.com/oauth2/idpresponse

9. Pilih cakupan Anda. Anda harus menyertakan openid lingkup. Untuk memberikan akses ke email dan klaim email_verified, tambahkan cakupan email. Pisahkan cakupan berdasarkan spasi.

10. Pilih Buat.

    Dalam Salesforce, ID klien disebut Kunci Konsumen, dan rahasia klien adalah Rahasia Konsumen. Perhatikan ID klien dan rahasia klien Anda. Anda akan menggunakannya di bagian selanjutnya.

Menambahkan sebuah OIDC iDP

1. Masuk ke Konsol Amazon Cognito. Jika diminta, masukkan AWS kredensialnya.

2. Pilih User Pools dari menu navigasi.

3. Pilih kolam pengguna yang ada dari daftar, atau buat kolam pengguna.

4. Pilih tab Pengalaman masuk. Cari Masuk Federasi dan pilih Tambahkan penyedia identitas.

5. Pilih OpenID Connect IDP.

6. Masukkan nama unik ke dalam nama Penyedia.

7. Masukkan ID klien yang Anda terima dari penyedia Anda ke ID Klien.

8. Masukkan rahasia klien yang Anda terima dari penyedia Anda ke dalam rahasia Klien.

9. Masukkan cakupan resmi untuk penyedia ini. Cakupan menentukan grup atribut pengguna mana (seperti name danemail) yang akan diminta aplikasi Anda dari penyedia Anda. Lingkup harus dipisahkan oleh spasi, mengikuti spesifikasi OAuth2.0.

   Pengguna Anda akan diminta untuk menyetujui untuk memberikan atribut ini ke aplikasi Anda.

10. Pilih metode permintaan Atribut untuk menyediakan Amazon Cognito dengan HTTP metode (salah satu GET atauPOST) yang harus digunakan untuk mengambil detail pengguna dari userInfotitik akhir yang dioperasikan oleh penyedia Anda.

11. Pilih metode Pengaturan untuk mengambil titik akhir OpenID Connect baik dengan pengisian Otomatis URL melalui penerbit atau input Manual. Gunakan Isi otomatis melalui penerbit URL saat penyedia Anda memiliki .well-known/openid-configuration titik akhir publik tempat Amazon Cognito dapat mengambil URLs titik akhirtoken,,, userInfo dan titik authorization akhir. jwks_uri

12. Masukkan penerbit URL atauauthorization,, tokenuserInfo, dan jwks_uri titik akhir URLs dari IDP Anda.

    catatan

    URLHarus dimulai denganhttps://, dan tidak boleh diakhiri dengan garis miring/. Hanya nomor port 443 dan 80 yang dapat digunakan dengan iniURL. Misalnya, Salesforce menggunakan ini: URL

    https://login.salesforce.com

    Jika Anda memilih pengisian otomatis, dokumen penemuan harus digunakan HTTPS untuk nilai berikut:authorization_endpoint,token_endpoint,userinfo_endpoint, danjwks_uri. Jika tidak, login akan gagal.

13. Sub OIDC klaim dipetakan ke atribut kumpulan pengguna Username secara default. Anda dapat memetakan OIDC klaim lain ke atribut kumpulan pengguna. Masukkan OIDC klaim, dan pilih atribut kumpulan pengguna yang sesuai dari daftar drop-down. Misalnya, email klaim sering dipetakan ke atribut kolam pengguna Email.

14. Petakan atribut dari iDP Anda ke kumpulan pengguna Anda. Untuk informasi selengkapnya, lihat Menentukan Pemetaan Atribut Penyedia Identitas untuk Kolam Pengguna Anda.

15. Pilih Buat.

16. Dari tab Integrasi klien aplikasi, pilih salah satu klien Aplikasi dalam daftar dan Edit pengaturan UI yang dihosting. Tambahkan OIDC iDP baru ke klien aplikasi di bawah Penyedia identitas.

17. Pilih Simpan perubahan.

• Lihat deskripsi parameter untuk CreateIdentityProviderAPImetode ini.

  
                          
  aws cognito-idp create-identity-provider
  --user-pool-id string
  --provider-name string
  --provider-type OIDC
  --provider-details map
  
  
  --attribute-mapping string
  --idp-identifiers (list)
  --cli-input-json string
  --generate-cli-skeleton string
  
  

  Gunakan peta detail penyedia ini:

                      
                          
  { 
    "client_id": "string",
    "client_secret": "string",
    "authorize_scopes": "string",
    "attributes_request_method": "string",
    "oidc_issuer": "string",
  
    "authorize_url": "string",
    "token_url": "string",
    "attributes_url": "string",
    "jwks_uri": "string"
  }