Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Avvio della sessione SAML nei bacini d'utenza di Amazon Cognito

Amazon Cognito supporta il single sign-on (SSO) avviato dal fornitore di servizi (SP-initiated) e l'SSO. IdP-initiated Come best practice di sicurezza, implementa l'SSO nel tuo pool di utenti. SP-initiated La sezione 5.1.2 della panoramica V2.0 tecnica SAML descrive l'SSO. SP-initiated Amazon Cognito è il provider di identità della tua app. L'app è il provider di servizi che recupera i token per gli utenti autenticati. Tuttavia, quando utilizzi un provider di identità di terze parti per autenticare gli utenti, Amazon Cognito diventa il provider di servizi. Quando gli utenti SAML 2.0 si autenticano con un SP-initiated flusso, devono sempre prima fare una richiesta ad Amazon Cognito e reindirizzare all'IdP per l'autenticazione.

Per alcuni casi d'uso aziendali, l'accesso alle applicazioni interne inizia da un segnalibro in un dashboard ospitato dal provider di identità aziendale. Quando un utente seleziona un segnalibro, il provider di identità genera una risposta SAML e la invia al provider di servizi per autenticare l'utente con l'applicazione.

Puoi configurare un IdP SAML nel tuo pool di utenti per supportare l'SSO. IdP-initiated Quando supporti IdP-initiated l'autenticazione, Amazon Cognito non può verificare di aver richiesto la risposta SAML ricevuta perché Amazon Cognito non avvia l'autenticazione con una richiesta SAML. In SP-initiated SSO, Amazon Cognito imposta parametri di stato che convalidano una risposta SAML rispetto alla richiesta originale. Con SP-initiated l'accesso puoi anche proteggerti dalla falsificazione delle richieste tra siti (CSRF).

Implementa l' SP-initated accesso SAML

Come best practice, implementa l'accesso tramite service-provider-initiated () SP-initiated al tuo pool di utenti. Amazon Cognito avvia la sessione dell'utente e lo reindirizza al tuo IdP. Con questo metodo, hai il massimo controllo su chi presenta le richieste di accesso. Puoi anche consentire IdP-initiated l'accesso a determinate condizioni.

La procedura seguente mostra come gli utenti completano l' SP-initiated accesso al tuo pool di utenti tramite un provider SAML.

Quando un utente si autentica e riceve la concessione di un codice di autorizzazione, il pool di utenti restituisce ID, accesso e token di aggiornamento. Il token ID è un oggetto di autenticazione per la gestione delle identità. OIDC-based Il token di accesso è un oggetto di autorizzazione con ambiti OAuth 2.0. Il token di aggiornamento è un oggetto che genera nuovi ID e token di accesso quando i token correnti dell'utente sono scaduti. Puoi configurare la durata dei token degli utenti nel client dell'app del tuo pool di utenti.

Puoi anche scegliere la durata dei token di aggiornamento. Dopo la scadenza del token di aggiornamento, l'utente deve accedere nuovamente. Se si sono autenticati tramite un IdP SAML, la durata della sessione degli utenti viene stabilita in base alla scadenza dei loro token, non alla scadenza della loro sessione con il loro IdP. La tua app deve memorizzare il token di aggiornamento di ogni utente e rinnovare la sessione quando scade. L'accesso gestito mantiene le sessioni utente in un cookie del browser valido per 1 ora.

Implementa l' IdP-initiated accesso SAML

Quando configuri il tuo provider di identità per l'accesso IdP-initiated SAML 2.0, puoi presentare le asserzioni SAML all'saml2/idpresponseendpoint nel dominio del tuo pool di utenti senza la necessità di avviare la sessione in. Endpoint Authorize Un pool di utenti con questa configurazione accetta asserzioni IdP-initiated SAML da un provider di identità esterno del pool di utenti supportato dal client dell'app richiesto.

I passaggi seguenti descrivono il processo generale di configurazione e accesso con un provider IdP-initiated SAML 2.0.

Per accettare asserzioni SAML non richieste nel tuo pool di utenti, devi considerarne l'effetto sulla sicurezza della tua app. I tentativi di spoofing delle richieste e CSRF sono probabili quando si accettano richieste. IdP-initiated Sebbene il tuo pool di utenti non sia in grado di verificare una sessione di IdP-initiated accesso, Amazon Cognito convalida i parametri della richiesta e le asserzioni SAML.

Inoltre, l'asserzione SAML non deve contenere un InResponseTo reclamo e deve essere stata emessa entro i 6 minuti precedenti.

Devi inviare le richieste con IdP-initiated SAML al tuo. /saml2/idpresponse Per le richieste di autorizzazione all'accesso SP-initiated e alla gestione, devi fornire parametri che identifichino il client dell'app richiesto, gli ambiti, l'URI di reindirizzamento e altri dettagli come parametri della stringa di query nelle richieste. HTTP GET Per le asserzioni IdP-initiated SAML, tuttavia, i dettagli della richiesta devono essere formattati come RelayState parametri nel corpo di una richiesta. HTTP POST Il corpo della richiesta deve contenere anche l'asserzione SAML come parametro. SAMLResponse

Di seguito è riportato un esempio di richiesta e risposta per un provider IdP-initiated SAML.

POST /saml2/idpresponse HTTP/1.1
User-Agent: USER_AGENT
Accept: */*
Host: example.auth.us-east-1.amazoncognito.com
Content-Type: application/x-www-form-urlencoded

SAMLResponse=[Base64-encoded SAML assertion]&RelayState=identity_provider%3DMySAMLIdP%26client_id%3D1example23456789%26redirect_uri%3Dhttps%3A%2F%2Fwww.example.com%26response_type%3Dcode%26scope%3Demail%2Bopenid%2Bphone

HTTP/1.1 302 Found
Date: Wed, 06 Dec 2023 00:15:29 GMT
Content-Length: 0
x-amz-cognito-request-id: 8aba6eb5-fb54-4bc6-9368-c3878434f0fb
Location: https://www.example.com?code=[Authorization code]

Console di gestione AWS

Per configurare un IdP per SAML IdP-initiated

1. Crea un pool di utenti, un client di app e un provider di identità SAML.

2. Dissocia tutti i provider di identità social e OIDC dal tuo client di app, se presenti.

3. Accedi al menu dei provider social ed esterni del tuo pool di utenti.

4. Modifica o aggiungi un provider SAML.

5. In Accesso IdP-initiated SAML, scegli Accetta SP-initiated e IdP-initiated asserzioni SAML.

6. Scegli Save changes (Salva modifiche).

API/CLI

Per configurare un IdP per SAML IdP-initiated

Configura IdP-initiated SAML con il IDPInit parametro in una richiesta API CreateIdentityProvider or UpdateIdentityProvider. Di seguito è riportato un esempio ProviderDetails di IdP che supporta IdP-initiated SAML.

"ProviderDetails": { 
      "MetadataURL" : "https://myidp.example.com/saml/metadata",
      "IDPSignout" : "true",
      "RequestSigningAlgorithm" : "rsa-sha256",
      "EncryptedResponses" : "true",
      "IDPInit" : "true"
}