Memetakan atribut IdP ke profil dan token

• Saat pengguna federasi masuk ke aplikasi Anda, pemetaan harus ada untuk setiap atribut kumpulan pengguna yang diperlukan kumpulan pengguna Anda. Misalnya, jika kumpulan pengguna Anda memerlukan email atribut untuk mendaftar, petakan atribut ini ke yang setara dari IdP.

• Secara default, alamat email yang dipetakan tidak diverifikasi. Anda tidak dapat memverifikasi alamat email yang dipetakan menggunakan kode satu kali. Sebagai gantinya, petakan atribut dari IdP Anda untuk mendapatkan status verifikasi. Misalnya, Google dan sebagian besar penyedia OIDC menyertakan atribut email_verified.

• Anda dapat memetakan token penyedia identitas (IdP) ke atribut khusus di kumpulan pengguna Anda. Penyedia sosial menyajikan token akses, dan penyedia OIDC menyajikan token akses dan ID. Untuk memetakan token, tambahkan atribut khusus dengan panjang maksimum 2.048 karakter, berikan akses tulis klien aplikasi Anda ke atribut tersebut, dan petakan access_token atau id_token dari IdP ke atribut khusus.

• Untuk setiap atribut kumpulan pengguna yang dipetakan, panjang nilai maksimum 2.048 karakter harus cukup besar untuk nilai yang diperoleh Amazon Cognito dari IdP. Jika tidak, Amazon Cognito melaporkan kesalahan saat pengguna masuk ke aplikasi Anda. Amazon Cognito tidak mendukung pemetaan token IdP ke atribut khusus jika token memiliki panjang lebih dari 2.048 karakter.

• Amazon Cognito memperoleh username atribut dalam profil pengguna federasi dari klaim spesifik yang dilewati IdP federasi Anda, seperti yang ditunjukkan pada tabel berikut. Amazon Cognito menambahkan nilai atribut ini dengan nama IdP Anda, misalnya. MyOIDCIdP_[sub] Jika Anda ingin pengguna federasi memiliki atribut yang sama persis dengan atribut di direktori pengguna eksternal Anda, petakan atribut tersebut ke atribut masuk Amazon Cognito seperti. preferred_username

  Penyedia Identitas	usernameatribut sumber
  Facebook	id
  Google	sub
  Login with Amazon	user_id
  Masuk dengan Apple	sub
  Penyedia SAML	NameID
  Penyedia OpenID Connect (OIDC)	sub

• Jika kumpulan pengguna tidak peka huruf besar/kecil, Amazon Cognito mengubah seluruh nama pengguna yang dibuat secara otomatis dari pengguna federasi menjadi huruf kecil, termasuk awalan nama IdP. Berikut ini adalah contoh nama pengguna untuk kumpulan pengguna yang peka huruf besar-kecil:MySAML_TestUser@example.com. Berikut ini adalah nama pengguna yang sama untuk kumpulan pengguna yang tidak p eka huruf bes ar/kecil:mysaml_testuser@example.com.

  Dalam kumpulan pengguna yang tidak peka huruf besar/kecil, pemicu Lambda yang memproses nama pengguna harus memperhitungkan perubahan pada seluruh nama pengguna. Perubahan ini mencakup nilai kasus campuran dari atribut sumber nama pengguna yang Anda petakan dari IdP Anda. Untuk menautkan IdP Anda ke kumpulan pengguna dengan pengaturan sensitivitas huruf besar-kecil yang berbeda dari kumpulan saat ini, buat kumpulan pengguna baru.

• Amazon Cognito harus dapat memperbarui atribut kolam pengguna yang dipetakan ketika pengguna masuk ke aplikasi Anda. Saat pengguna masuk melalui IdP, Amazon Cognito memperbarui atribut yang dipetakan dengan informasi terbaru dari IdP. Amazon Cognito hanya memperbarui atribut yang dipetakan saat nilainya berubah. Untuk memastikan bahwa Amazon Cognito dapat memperbarui atribut, periksa persyaratan berikut:

  • Semua atribut khusus kumpulan pengguna yang Anda petakan dari IdP harus dapat diubah. Anda dapat memperbarui atribut khusus yang dapat diubah kapan saja. Sebaliknya, Anda hanya dapat menetapkan nilai untuk atribut kustom yang tidak dapat diubah pengguna saat pertama kali membuat profil pengguna. Untuk membuat atribut kustom yang dapat diubah di konsol Amazon Cognito, aktifkan kotak centang Mutable untuk atribut yang Anda tambahkan saat memilih Tambahkan atribut khusus di menu. Sign-up Atau, jika Anda membuat kumpulan pengguna dengan menggunakan operasi CreateUserPool API, Anda dapat mengatur Mutable parameter untuk masing-masing atribut ini ketrue. Jika IdP Anda mengirimkan nilai untuk atribut yang tidak dapat diubah yang dipetakan, Amazon Cognito mengembalikan kesalahan dan login gagal.

  • Dalam pengaturan klien aplikasi untuk aplikasi Anda, atribut yang dipetakan harus dapat ditulis. Anda dapat mengatur atribut mana yang dapat ditulis di halaman Klien aplikasi di konsol Amazon Cognito. Atau, jika Anda membuat klien aplikasi dengan menggunakan operasi API CreateUserPoolClient, Anda dapat menambahkan atribut ini ke array WriteAttributes. Jika IdP mengirimkan nilai untuk atribut yang tidak dapat ditulis yang dipetakan, Amazon Cognito tidak menetapkan nilai atribut dan melanjutkan dengan otentikasi.

• Ketika atribut IdP berisi beberapa nilai, Amazon Cognito meratakan semua nilai menjadi satu string yang dipisahkan koma yang tertutup dalam karakter kurung persegi dan. [ ] Formulir URL Amazon Cognito mengkodekan nilai yang berisi karakter non-alfanumerik kecuali untuk,,, dan. . - * _ Anda harus memecahkan kode dan mengurai nilai individual sebelum menggunakannya di aplikasi.

• Atribut tujuan mempertahankan nilai apa pun yang ditetapkan oleh aturan pemetaan atribut Anda kecuali jika tindakan masuk atau administratif mengubahnya. Amazon Cognito tidak menghapus atribut dari pengguna saat atribut sumber tidak lagi dikirim dalam token penyedia atau pernyataan SAML. Tindakan berikut menghapus nilai atribut dari profil kumpulan pengguna untuk pengguna federasi:

  1. IdP mengirimkan nilai kosong untuk atribut sumber dan aturan pemetaan menerapkan nilai kosong ke atribut tujuan.

  2. Anda menghapus nilai atribut yang dipetakan dengan AdminDeleteUserAttributes permintaan DeleteUserAttributes atau.

Untuk menentukan pemetaan atribut pada waktu pembuatan penyedia

• AWS CLI: aws cognito-idp create-identity-provider

  Contoh dengan file metadata: aws cognito-idp create-identity-provider --user-pool-id <user_pool_id> --provider-name=SAML_provider_1 --provider-type SAML --provider-details file:///details.json --attribute-mapping email=http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress

  Di mana details.json berisi:

  { 
      "MetadataFile": "<SAML metadata XML>"
  }

  catatan

  Jika <SAML metadata XML> berisi kutipan ("), mereka harus lolos (\").

  Contoh dengan URL metadata:

  aws cognito-idp create-identity-provider \
  --user-pool-id us-east-1_EXAMPLE \
  --provider-name=SAML_provider_1 \
  --provider-type SAML \
  --provider-details MetadataURL=https://myidp.example.com/saml/metadata \
  --attribute-mapping email=http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress

• API/SDK: CreateIdentityProvider

Untuk menentukan pemetaan atribut untuk IdP yang ada

• AWS CLI: aws cognito-idp update-identity-provider

  Contoh: aws cognito-idp update-identity-provider --user-pool-id <user_pool_id> --provider-name <provider_name> --attribute-mapping email=http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress

• API/SDK: UpdateIdentityProvider

Untuk mendapatkan informasi tentang pemetaan atribut untuk IdP tertentu

• AWS CLI: aws cognito-idp describe-identity-provider

  Contoh: aws cognito-idp describe-identity-provider --user-pool-id <user_pool_id> --provider-name <provider_name>

• API/SDK: DescribeIdentityProvider