General/Custom Persyaratan otorisasi untuk pengembang konektor

Otorisasi Umum memungkinkan konektor Anda menggunakan kredensil (seperti kunci API, token, atau username/password kombinasi) alih-alih token pengguna OAuth 2.0. Tidak seperti OAuth 2.0, yang menyediakan otorisasi tingkat pengguna melalui penautan akun, Otorisasi Umum memungkinkan satu set kredensional untuk mengontrol perangkat di beberapa pengguna akhir.

Bagian ini menjelaskan cara menerapkan dukungan Otorisasi Umum dalam AWS Lambda fungsi konektor Anda. Jika Anda adalah pelanggan yang mengonfigurasi Otorisasi Umum untuk konektor yang ada, lihat. General/Custom Persyaratan otorisasi

Apa itu Otorisasi Umum?

Otorisasi Umum adalah mekanisme otorisasi non-OAuth yang memungkinkan konektor Anda untuk mengotorisasi dengan platform pihak ketiga menggunakan kredensi pelanggan. Dengan Otorisasi Umum, Integrasi Terkelola mendelegasikan manajemen kredensi ke konektor Anda, dan satu set kredensional dapat mengontrol perangkat di beberapa pengguna akhir.

Ini berguna untuk skenario di mana Anda memiliki hubungan bisnis dengan vendor perangkat dan perlu mengelola perangkat dalam skala besar tanpa alur otorisasi pengguna individual.

Kapan menggunakan Otorisasi Umum

Pertimbangkan untuk menerapkan dukungan Otorisasi Umum di konektor Anda saat:

Bagaimana Otorisasi Umum menggunakan AWS Secrets Manager

AWS Secrets Manager adalah layanan penyimpanan rahasia yang melindungi kredensil sensitif seperti kunci API dan token. Rahasia dienkripsi menggunakan AWS Key Management Service kunci. Untuk informasi selengkapnya, silakan lihat Panduan Pengguna AWS Secrets Manager.

Untuk Otorisasi Umum, pelanggan menyimpan kredensil otorisasi di Secrets Manager, dan memberikan izin konektor C2C Anda untuk mengakses rahasia ini. Ketika integrasi terkelola memanggil konektor Anda, ia menyediakan Secrets Manager ARN dan ID versi di header permintaan. Konektor Anda mengambil nilai rahasia dan menggunakannya untuk mengotorisasi dengan platform pihak ketiga.

Pendekatan ini memastikan bahwa integrasi terkelola tidak pernah menangani kredensil jangka panjang secara langsung. Konektor Anda mempertahankan kontrol penuh atas manajemen kredensi dan pembuatan token, sehingga solusi ini dapat diperluas ke mekanisme otorisasi apa pun yang didukung oleh platform pihak ketiga Anda.

Format permintaan Otorisasi Umum

Saat Integrasi Terkelola memanggil konektor Anda untuk asosiasi akun Otorisasi Umum, header permintaan berisi AWS Secrets Manager referensi, bukan token OAuth. Struktur permintaan konsisten di semua operasi konektor (AWS.ActivateUser,AWS.DiscoverDevices,AWS.SendCommand, danAWS.DeactivateUser).

{
  "header": {
    "auth": {
      "secretsManager": {
        "arn": "arn:aws:secretsmanager:us-east-1:123456789012:secret:my-api-key-AbCdEf",
        "versionId": "a1b2c3d4-5678-90ab-cdef-1234567890ab"
      },
      "type": "GeneralAuthorization"
    }
  },
  "payload": {
    "operationName": "AWS.DiscoverDevices",
    "operationVersion": "1.0",
    "connectorId": "Your-Connector-Id",
    ...
  }
}

{
  "header": {
    "auth": {
      "token": "ashriu32yr97feqy7afsaf",
      "type": "OAuth2.0"
    }
  },
  "payload": {
    "operationName": "AWS.DiscoverDevices",
    "operationVersion": "1.0",
    "connectorId": "Your-Connector-Id",
    ...
  }
}

Alur kerja Otorisasi Umum

Saat konektor Anda menerima permintaan Otorisasi Umum, ikuti alur kerja ini:

Izin Lambda untuk GeneralAuthorization

Peran eksekusi Lambda konektor Anda harus memiliki izin untuk mengambil rahasia dari pelanggan. AWS Secrets Manager Tambahkan izin berikut ke kebijakan peran eksekusi Lambda Anda:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "secretsmanager:GetSecretValue"
      ],
      "Resource": "arn:aws:secretsmanager:*:*:secret:*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "kms:Decrypt"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "kms:ViaService": "secretsmanager.*.amazonaws.com"
        }
      }
    }
  ]
}

Penjelasan Izin

Pelanggan juga akan memberikan izin Lambda Anda untuk mengakses rahasia spesifik mereka melalui kebijakan sumber daya rahasia.