Creare un provider di identità OpenID Connect (OIDC) in IAM

1. Determina l'URL disponibile pubblicamente del tuo provider di identità OIDC. L'URL deve iniziare con https://. Secondo lo standard OIDC, i componenti del percorso sono consentiti ma i parametri di interrogazione no. In genere, l'URL è costituito solo da un nome host, ad esempio https://server.example.org o https://example.com. L'URL non deve contenere un numero di porta.

2. Aggiungi /.well- known/openid -configuration alla fine dell'URL del tuo provider di identità OIDC per visualizzare il documento di configurazione e i metadati del provider disponibili al pubblico. È necessario disporre di un documento di rilevamento in formato JSON con il documento di configurazione e i metadati del provider che possono essere recuperati dall'URL dell'endpoint di rilevamento del provider OpenID Connect.

3. Verifica che i seguenti valori siano inclusi nelle informazioni di configurazione del tuo provider. Se nella configurazione openid manca uno di questi campi, è necessario aggiornare il documento di rilevamento. Questo processo può variare in base al provider di identità, quindi segui la documentazione del tuo IdP per completare questa attività.

   • emittente: l'URL del dominio.

   • jwks_uri: l'endpoint JSON Web Key Set (JWKS) da cui IAM ottiene le chiavi pubbliche. Il provider di identità deve includere un endpoint JSON Web Key Set (JWKS) nella configurazione openid. Questo URI definisce dove ottenere le chiavi pubbliche utilizzate per verificare i token firmati dal provider di identità.

     Nota

     Il JSON Web Key Set (JWKS) deve contenere almeno una chiave e può avere un massimo di 100 chiavi RSA e 100 chiavi EC. Se il JWKS del provider di identità OIDC contiene più di 100 chiavi RSA o 100 chiavi EC, verrà restituita un'InvalidIdentityTokeneccezione quando si utilizza l'operazione AssumeRoleWithWebIdentity API con un JWT firmato da un tipo di chiave che supera il limite di 100 chiavi. Ad esempio, se un JWT è firmato con l’algoritmo RSA e nel JWKS del provider sono presenti più di 100 chiavi RSA, verrà restituita un’eccezione InvalidIdentityToken.

   • claims_supported: informazioni sull'utente che ti aiutano a garantire che le risposte di autenticazione OIDC del tuo IdP contengano gli attributi richiesti utilizzati nelle politiche IAM per verificare le autorizzazioni per i principali federati OIDC. AWS Per un elenco delle chiavi di condizione IAM che possono essere utilizzate per le attestazioni, consulta Chiavi disponibili per AWS Federazione OIDC.

     • aud: devi determinare il valore dell'attestazione del pubblico dal tuo IdP nei JSON Web Tokens (JWT). L'attestazione del pubblico (aud) è specifica dell'applicazione e identifica i destinatari previsti del token. Quando registri un'app mobile o Web con un provider OpenID Connect, viene stabilito un ID client che identifica l'applicazione. L'ID client è un identificatore univoco per l'app passato nell'attestazione aud per l'autenticazione. Quando crei il tuo provider di identità OIDC IAM, l'attestazione aud deve corrispondere al valore Pubblico.

     • iat: le attestazioni devono includere un valore per iat che rappresenti l'ora in cui viene emesso il token ID.

     • iss: l'URL del provider di identità. L'URL deve iniziare con https://e deve corrispondere all'URL del provider fornito a IAM. In conformità con lo standard OIDC, i componenti del percorso sono consentiti, ma i parametri di query non lo sono. In genere, l'URL è costituito solo da un nome host, ad esempio o L'URL non deve contenere un numero di porta. https://server.example.org https://example.com.

   • response_types_supported: id_token

   • subject_types_supported: public

   • id_token_signing_alg_values_supported: RS256, RS384, RS512, ES256, ES384, ES512

   Nota

   Puoi includere ulteriori attestazioni come my_custom_claim nell'esempio seguente; tuttavia, la rivendicazione AWS STS verrà ignorata.

   {
     "issuer": "https://example-domain.com",
     "jwks_uri": "https://example-domain.com/jwks/keys",
     "claims_supported": [
       "aud",
       "iat",
       "iss",
       "name",
       "sub",
       "my_custom_claim"
     ],
     "response_types_supported": [
       "id_token"
     ],
     "id_token_signing_alg_values_supported": [
       "RS256",
       "RS384",
       "RS512",
       "ES256",
       "ES384",
       "ES512"
     ],
     "subject_types_supported": [
       "public"
     ]
   }

Come creare un provider di identità OIDC IAM (console)

1. Prima di creare un provider di identità OIDC IAM, occorre registrare l'applicazione sul provider di identità per ricevere un ID client. L'ID client (noto anche come destinatario) è un identificatore univoco per l'app rilasciato durante la registrazione dell'app sul provider di identità. Per ulteriori informazioni su come ottenere un ID client, consulta la documentazione per l'IdP.

   Nota

   AWS protegge la comunicazione con i provider di identità OIDC (IdPs) utilizzando la nostra libreria di autorità di certificazione (CA) affidabili per verificare il certificato TLS dell'endpoint JSON Web Key Set (JWKS). Se il tuo IdP OIDC si basa su un certificato non firmato da una di queste CA affidabili, solo allora proteggiamo la comunicazione utilizzando le impronte digitali impostate nella configurazione dell'IdP. AWS ricorreremo alla verifica tramite impronta digitale se non siamo in grado di recuperare il certificato TLS o se è richiesto TLS v1.3.

2. Aprire la console IAM all'indirizzo https://console.aws.amazon.com/iam/.

3. Nel riquadro di navigazione, scegli Provider di identità, quindi seleziona Aggiungi provider.

4. Per Configura provider, scegli OpenID Connect.

5. In Provider URL (URL provider), digitare l'URL del provider di identità. L'URL deve soddisfare queste restrizioni:

   • L'URL rileva la distinzione tra lettere maiuscole e minuscole.

   • L'URL deve iniziare con https://.

   • L'URL non deve contenere un numero di porta.

   • All'interno del tuo Account AWS, ogni provider di identità IAM OIDC deve utilizzare un URL univoco. Se provi a inviare un URL che è già stato utilizzato per un provider OpenID Connect nel Account AWS, riceverai un errore.

6. Per Audience, digita l'ID client dell'applicazione che hai registrato con l'IdP e che hai ricevuto e alla quale fai le richieste. Passo 1 AWS Se si dispone di ID client aggiuntivi (noti anche come destinatari) per questo provider di identità, è possibile aggiungerli in un secondo momento nella pagina dei dettagli del provider.

   Nota

   Se il tuo token IdP JWT include l'attestazione azp, inserisci questo valore come valore Pubblico.

   Se il tuo provider di identità OIDC imposta entrambi aud i azp claim nel token, AWS STS utilizzerà il valore del azp claim come claim. aud

7. (Facoltativo) Per Aggiungi tag, puoi aggiungere coppie chiave-valore per aiutarti a identificare e organizzare i tuoi. IdPs È inoltre possibile utilizzare i tag per controllare l'accesso alle risorse AWS . Per ulteriori informazioni sul tagging dei provider di identità OIDC IAM, consulta Aggiungere tag ai provider di identità OpenID Connect (OIDC). Seleziona Aggiungi tag. Immetti i valori per ogni coppia chiave-valore del tag.

8. Controlla le informazioni inserite. Quando hai finito, scegli Aggiungi provider. IAM proverà a recuperare e utilizzare l'impronta digitale della CA intermedia del certificato server IdP OIDC per creare il provider di identità OIDC IAM.

   Nota

   La catena di certificati del provider di identità OIDC deve iniziare con l'URL del dominio o dell'emittente, quindi il certificato intermedio e deve terminare con il certificato root. Se l'ordine della catena di certificati è diverso o se include certificati duplicati o aggiuntivi, riceverai un errore di mancata corrispondenza della firma e STS non riuscirà a convalidare il JSON Web Token (JWT). Correggi l'ordine dei certificati nella catena restituita dal server per risolvere l'errore. Per ulteriori informazioni sugli standard della catena di certificati, consulta certificate_list nella RFC 5246 sul sito Web della serie RFC.

9. Assegna un ruolo IAM al tuo provider di identità per concedere alle identità di utenti esterni gestite dal tuo provider di identità le autorizzazioni per accedere alle AWS risorse del tuo account. Per ulteriori informazioni sulla creazione di ruoli per la federazione delle identità, consulta Creazione di un ruolo per un provider di identità di terze parti.

   Nota

   L'OIDC IdPs utilizzato in una politica di fiducia del ruolo deve appartenere allo stesso account del ruolo che lo considera affidabile.

Come aggiungere o rimuovere un'identificazione personale per un provider di identità OIDC IAM (console)

1. Aprire la console IAM all'indirizzo https://console.aws.amazon.com/iam/.

2. Nel pannello di navigazione, scegli Identity providers (Provider di identità). Scegli quindi il nome del provider di identità IAM che desideri aggiornare.

3. Scegli la scheda Verifica dell'endpoint, quindi nella sezione Impronte digitali, scegli Gestisci. Per immettere un nuovo valore di identificazione personale, scegli Aggiungi identificazione personale. Per rimuovere un'identificazione personale, scegli Rimuovi accanto all'elemento che desideri rimuovere.

   Nota

   Un provider di identità OIDC IAM deve avere un numero di identificazioni personale compreso tra 1 e 5.

   Al termine, scegli Salva modifiche.

Come aggiungere un destinatario per un provider di identità OIDC IAM (console)

1. Nel pannello di navigazione, scegli Provider di identità, quindi scegli il nome del provider di identità IAM che desideri aggiornare.

2. Nella sezione Destinatari, scegli Operazioni e seleziona Aggiungi destinatario.

3. Digita l'ID client dell'applicazione che hai registrato con l'IdP e che hai ricevuto e alla quale verranno inoltrate le richiestePasso 1. AWS Quindi scegli Aggiungi destinatari.

   Nota

   Un provider di identità OIDC IAM deve avere un numero di audience compreso tra 1 e 100.

Come rimuovere un destinatario da un provider di identità OIDC IAM (console)

1. Nel pannello di navigazione, scegli Provider di identità, quindi scegli il nome del provider di identità IAM che desideri aggiornare.

2. Nella sezione Destinatari, seleziona il pulsante di opzione accanto al destinatario che desideri rimuovere, quindi seleziona Operazioni.

3. Scegli Rimuovi destinatario. Viene visualizzata una nuova finestra.

4. Se rimuovi un destinatario, le identità a esso federate non possono assumere ruoli associati al destinatario. Nella finestra, leggi l'avviso e conferma di volere rimuovere il destinatario digitando la parola remove nel campo.

5. Scegli Rimuovi per rimuovere il destinatario.

Come eliminare un provider di identità OIDC IAM (console)

1. Aprire la console IAM all'indirizzo https://console.aws.amazon.com/iam/.

2. Nel pannello di navigazione, scegli Identity providers (Provider di identità).

3. Seleziona la casella di controllo accanto al provider di identità IAM che desideri eliminare. Viene visualizzata una nuova finestra.

4. Conferma che desideri eliminare il provider digitando la parola delete nel campo. Quindi, scegli Elimina.

Per creare un provider di identità IAM OIDC (AWS CLI)

1. (Facoltativo) Per ottenere un elenco di tutti i provider di identità OIDC IAM nell'account AWS , emetti il seguente comando:

   • aws iam list-open-id-connect-providers

2. Per creare un nuovo provider di identità OIDC IAM, esegui il comando:

   • aws iam create-open-id-connect-provider

Per aggiornare l'elenco delle impronte digitali dei certificati del server per un provider di identità IAM OIDC esistente (AWS CLI)

• Per aggiornare l'elenco di identificazioni personali del certificato del server per un provider di identità OIDC IAM, esegui il comando:

  • aws iam update-open-id-connect-provider-thumbprint

Per etichettare un provider di identità IAM OIDC esistente (AWS CLI)

• Per aggiungere i tag a un provider di identità OIDC IAM esistente, esegui il comando:

  • aws iam tag-open-id-connect-provider

Per elencare i tag per un provider di identità IAM OIDC esistente (AWS CLI)

• Per elencare i tag per un provider di identità OIDC IAM esistente, esegui il comando:

  • aws iam list-open-id-connect-provider-tags

Per rimuovere i tag su un provider di identità IAM OIDC (AWS CLI)

• Per rimuovere i tag da un provider di identità OIDC IAM esistente, esegui il comando:

  • aws iam untag-open-id-connect-provider

Per aggiungere o rimuovere un ID cliente da un provider di identità IAM OIDC esistente (AWS CLI)

1. (Facoltativo) Per ottenere un elenco di tutti i provider di identità OIDC IAM nell'account AWS , emetti il seguente comando:

   • aws iam list-open-id-connect-providers

2. (Facoltativo) Per ottenere informazioni dettagliate su un provider di identità OIDC IAM, esegui il comando:

   • aws iam get-open-id-connect-provider

3. Per aggiungere un nuovo ID client a un provider di identità OIDC IAM esistente, esegui il comando:

   • aws iam add-client-id-to-open-id-connect-provider

4. Per rimuovere un client da un provider di identità OIDC IAM esistente, esegui il comando:

   • aws iam remove-client-id-from-open-id-connect-provider

Per eliminare un provider di identità IAM OIDC (AWS CLI)

1. (Facoltativo) Per ottenere un elenco di tutti i provider di identità OIDC IAM nell'account AWS , emetti il seguente comando:

   • aws iam list-open-id-connect-providers

2. (Facoltativo) Per ottenere informazioni dettagliate su un provider di identità OIDC IAM, esegui il comando:

   • aws iam get-open-id-connect-provider

3. Per eliminare un provider di identità OIDC IAM, esegui il comando:

   • aws iam delete-open-id-connect-provider

Per creare un provider di identità IAM OIDC (AWS API)

1. (Facoltativo) Per ottenere un elenco di tutti i provider di identità OIDC IAM nell'account AWS , chiama la seguente operazione:

   • ListOpenIDConnectProviders

2. Per creare un nuovo provider di identità OIDC IAM, chiama la seguente operazione:

   • CreateOpenIDConnectProvider

Per aggiornare l'elenco delle impronte digitali dei certificati del server per un provider di identità IAM OIDC esistente (AWS API)

• Per aggiornare l'elenco di identificazioni personali del certificato del server per un provider di identità OIDC IAM, chiama la seguente operazione:

  • UpdateOpenIDConnectProviderThumbprint

Per etichettare un provider di identità IAM OIDC esistente (AWS API)

• Per aggiungere i tag a un provider di identità OIDC IAM, richiama la seguente operazione:

  • TagOpenIDConnectProvider

Per elencare i tag per un provider di identità IAM OIDC esistente (AWS API)

• Per elencare i tag per un provider di identità OIDC IAM esistente, richiama la seguente operazione:

  • ListOpenIDConnectProviderTags

Per rimuovere i tag su un provider di identità IAM OIDC esistente (AWS API)

• Per rimuovere i tag da un provider di identità OIDC IAM esistente, richiama la seguente operazione:

  • UntagOpenIDConnectProvider

Per aggiungere o rimuovere un ID cliente da un provider di identità IAM OIDC esistente (AWS API)

1. (Facoltativo) Per ottenere un elenco di tutti i provider di identità OIDC IAM nell'account AWS , chiama la seguente operazione:

   • ListOpenIDConnectProviders

2. (Facoltativo) Per ottenere informazioni dettagliate su un provider di identità OIDC IAM, chiama la seguente operazione:

   • GetOpenIDConnectProvider

3. Per aggiungere un nuovo ID client a un provider di identità OIDC IAM esistente, chiama la seguente operazione:

   • AddClientIDToOpenIDConnectProvider

4. Per rimuovere un ID client da un provider di identità OIDC IAM esistente, chiama la seguente operazione:

   • RemoveClientIDFromOpenIDConnectProvider

Per eliminare un provider di identità IAM OIDC (AWS API)

1. (Facoltativo) Per ottenere un elenco di tutti i provider di identità OIDC IAM nell'account AWS , chiama la seguente operazione:

   • ListOpenIDConnectProviders

2. (Facoltativo) Per ottenere informazioni dettagliate su un provider di identità OIDC IAM, chiama la seguente operazione:

   • GetOpenIDConnectProvider

3. Per eliminare un provider di identità OIDC IAM, chiama la seguente operazione:

   • DeleteOpenIDConnectProvider