Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.
Menggunakan aplikasi dengan penerbit token tepercaya
Penerbit token tepercaya memungkinkan Anda menggunakan propagasi identitas tepercaya dengan aplikasi yang mengotentikasi di luar. AWS Dengan penerbit token tepercaya, Anda dapat mengotorisasi aplikasi ini untuk membuat permintaan atas nama pengguna mereka untuk mengakses aplikasi yang AWS dikelola.
Topik berikut menjelaskan cara kerja penerbit token tepercaya dan memberikan panduan penyiapan.
Topik
Ikhtisar penerbit token tepercaya
Propagasi identitas tepercaya menyediakan mekanisme yang memungkinkan aplikasi yang melakukan otentikasi di luar AWS untuk membuat permintaan atas nama pengguna mereka dengan menggunakan penerbit token tepercaya. Penerbit token tepercaya adalah server otorisasi OAuth 2.0 yang membuat token yang ditandatangani. Token ini mengotorisasi aplikasi yang memulai permintaan (meminta aplikasi) untuk akses ke Layanan AWS(menerima aplikasi). Aplikasi yang meminta memulai permintaan akses atas nama pengguna yang diautentikasi oleh penerbit token tepercaya. Pengguna dikenal oleh penerbit token tepercaya dan Pusat Identitas IAM.
Layanan AWS yang menerima permintaan mengelola otorisasi halus ke sumber daya mereka berdasarkan pengguna dan keanggotaan grup seperti yang diwakili dalam direktori Pusat Identitas. Layanan AWS tidak dapat menggunakan token dari penerbit token eksternal secara langsung.
Untuk mengatasi hal ini, Pusat Identitas IAM menyediakan cara bagi aplikasi yang meminta, atau AWS driver yang digunakan aplikasi yang meminta, untuk menukar token yang dikeluarkan oleh penerbit token tepercaya dengan token yang dihasilkan oleh Pusat Identitas IAM. Token yang dihasilkan oleh Pusat Identitas IAM mengacu pada pengguna Pusat Identitas IAM yang sesuai. Aplikasi yang meminta, atau pengemudi, menggunakan token baru untuk memulai permintaan ke aplikasi penerima. Karena token baru mereferensikan pengguna terkait di Pusat Identitas IAM, aplikasi penerima dapat mengotorisasi akses yang diminta berdasarkan pengguna atau keanggotaan grup mereka seperti yang diwakili di Pusat Identitas IAM.
penting
Memilih server otorisasi OAuth 2.0 untuk ditambahkan sebagai penerbit token tepercaya adalah keputusan keamanan yang memerlukan pertimbangan cermat. Hanya pilih penerbit token tepercaya yang Anda percayai untuk melakukan tugas-tugas berikut:
-
Otentikasi pengguna yang ditentukan dalam token.
-
Otorisasi akses pengguna tersebut ke aplikasi penerima.
-
Hasilkan token yang dapat ditukar IAM Identity Center dengan token yang dibuat IAM Identity Center.
Prasyarat dan pertimbangan untuk penerbit token tepercaya
Sebelum menyiapkan penerbit token tepercaya, tinjau prasyarat dan pertimbangan berikut.
-
Konfigurasi penerbit token tepercaya
Anda harus mengonfigurasi server otorisasi OAuth 2.0 (penerbit token tepercaya). Meskipun penerbit token tepercaya biasanya adalah penyedia identitas yang Anda gunakan sebagai sumber identitas untuk Pusat Identitas IAM, tidak harus demikian. Untuk informasi tentang cara mengatur penerbit token tepercaya, lihat dokumentasi untuk penyedia identitas yang relevan.
catatan
Anda dapat mengonfigurasi hingga 10 penerbit token tepercaya untuk digunakan dengan Pusat Identitas IAM, selama Anda memetakan identitas setiap pengguna di penerbit token tepercaya ke pengguna terkait di Pusat Identitas IAM.
-
Server otorisasi OAuth 2.0 (penerbit token tepercaya) yang membuat token harus memiliki titik akhir penemuan
OpenID Connect (OIDC) yang dapat digunakan IAM Identity Center untuk mendapatkan kunci publik guna memverifikasi tanda tangan token. Untuk informasi selengkapnya, lihat URL titik akhir penemuan OIDC (URL penerbit). -
Token yang dikeluarkan oleh penerbit token tepercaya
Token dari penerbit token tepercaya harus memenuhi persyaratan berikut:
-
Token harus ditandatangani dan dalam format
JSON Web Token (JWT) menggunakan algoritma RS256. -
Token harus berisi klaim berikut:
-
Penerbit
(iss) — Entitas yang menerbitkan token. Nilai ini harus sesuai dengan nilai yang dikonfigurasi di titik akhir penemuan OIDC (URL penerbit) di penerbit token tepercaya. -
Subjek
(sub) — Pengguna yang diautentikasi. -
Audiens
(aud) — Penerima token yang dituju. Ini adalah Layanan AWS yang akan diakses setelah token ditukar dengan token dari Pusat Identitas IAM. Untuk informasi selengkapnya, lihat Klaim Aud. -
Waktu Kedalu
warsa (exp) — Waktu setelah token kedaluwarsa.
-
-
Token dapat berupa token identitas atau token akses.
-
Token harus memiliki atribut yang dapat dipetakan secara unik ke satu pengguna Pusat Identitas IAM.
catatan
Menggunakan kunci penandatanganan khusus untuk JWT dari tidak Microsoft Entra ID didukung. Untuk menggunakan token dari penerbit token Microsoft Entra ID tepercaya, Anda tidak dapat menggunakan kunci penandatanganan khusus.
-
-
Klaim opsional
Pusat Identitas IAM mendukung semua klaim opsional yang didefinisikan dalam RFC 7523. Untuk informasi lebih lanjut, lihat Bagian 3: Format JWT dan Persyaratan
Pemrosesan RFC ini. Misalnya, token dapat berisi klaim JTI (JWT ID).
Klaim ini, bila ada, mencegah token yang memiliki JTI yang sama digunakan kembali untuk pertukaran token. Untuk informasi selengkapnya tentang klaim JTI, lihatRincian klaim JTI. -
Konfigurasi Pusat Identitas IAM untuk bekerja dengan penerbit token tepercaya
Anda juga harus mengaktifkan Pusat Identitas IAM, mengonfigurasi sumber identitas untuk Pusat Identitas IAM, dan menyediakan pengguna yang sesuai dengan pengguna di direktori penerbit token tepercaya.
Untuk melakukan ini, Anda harus melakukan salah satu dari hal berikut:
-
Sinkronisasi pengguna ke Pusat Identitas IAM dengan menggunakan protokol System for Cross-domain Identity Management (SCIM) 2.0.
-
Buat pengguna langsung di Pusat Identitas IAM.
-
Rincian klaim JTI
Jika Pusat Identitas IAM menerima permintaan untuk menukar token yang telah ditukar IAM Identity Center, permintaan gagal. Untuk mendeteksi dan mencegah penggunaan kembali token untuk pertukaran token, Anda dapat menyertakan klaim JTI. Pusat Identitas IAM melindungi dari pemutaran ulang token berdasarkan klaim dalam token.
Tidak semua server otorisasi OAuth 2.0 menambahkan klaim JTI ke token. Beberapa server otorisasi OAuth 2.0 mungkin tidak mengizinkan Anda menambahkan JTI sebagai klaim khusus. Server otorisasi OAuth 2.0 yang mendukung penggunaan klaim JTI mungkin menambahkan klaim ini hanya ke token identitas, token akses saja, atau keduanya. Untuk informasi selengkapnya, lihat dokumentasi untuk server otorisasi OAuth 2.0 Anda.
Untuk informasi tentang membangun aplikasi yang bertukar token, lihat dokumentasi IAM Identity Center API. Untuk informasi tentang mengonfigurasi aplikasi yang dikelola pelanggan untuk mendapatkan dan menukar token yang benar, lihat dokumentasi untuk aplikasi.
