Cose da sapere sui pool SAML IdPs di utenti di Amazon Cognito

I pool di utenti di Amazon Cognito supportano la federazione SAML 2.0 con endpoint POST -binding. Ciò elimina la necessità per l'app di recuperare o analizzare le risposte di SAML asserzione, poiché il pool di utenti riceve direttamente la SAML risposta dal tuo IdP tramite uno user agent. Il bacino d'utenza si comporta da provider di servizi (SP) per conto della tua applicazione. Amazon Cognito supporta il single sign-on avviato da SP e IdP (SSO) come descritto nelle sezioni 5.1.2 e 5.1.4 della panoramica tecnica della versione 2.0. SAML

Il certificato di firma nei metadati SAML del provider non deve essere scaduto quando configuri l'SAMLIdP nel tuo pool di utenti.

Quando il tuo SAML IdP include più di un certificato di firma nei SAML metadati, al momento dell'accesso il tuo pool di utenti determina che l'SAMLasserzione è valida se corrisponde a qualsiasi certificato nei metadati. SAML Ogni certificato di firma non deve contenere più di 4.096 caratteri.

Amazon Cognito e il tuo SAML IdP gestiscono le informazioni sulla sessione con un parametro. relayState

Il tuo provider di SAML identità richiede che tu imposti un endpoint di assertion consumer. Il tuo IdP reindirizza gli utenti a questo endpoint con la loro affermazione. SAML Configura il seguente endpoint nel dominio del tuo pool di utenti per l'associazione SAML 2.0 POST nel tuo provider di identità. SAML

https://Your user pool domain/saml2/idpresponse
With an Amazon Cognito domain:
https://mydomain.us-east-1.amazoncognito.com/saml2/idpresponse
With a custom domain:
https://auth.example.com/saml2/idpresponse

Per ulteriori informazioni sui domini del pool di utenti, consulta l'articolo Configurazione di un dominio di bacino d'utenza.

Non puoi ripetere o riprodurre un'SAMLasserzione sul tuo endpoint Amazon saml2/idpresponse Cognito. Un'SAMLasserzione riprodotta ha un ID di asserzione che duplica l'ID di una risposta IdP precedente.

Devi fornire al tuo IdP l'ID del tuo pool di utenti nel service provider (SP)urn, chiamato anche audience URI o ID entità SP. Il pubblico URI del tuo pool di utenti ha il seguente formato.

urn:amazon:cognito:sp:us-east-1_EXAMPLE

Puoi trovare l'ID del tuo pool di utenti nella sezione Panoramica del pool di utenti nella console Amazon Cognito.

Configura il tuo SAML IdP per fornire valori per tutti gli attributi che hai impostato come richiesto nel tuo pool di utenti. Ad esempio, email è un attributo obbligatorio comune per i pool di utenti. Prima che gli utenti possano accedere, le asserzioni SAML IdP devono includere un'affermazione da mappare all'attributo User pool. email Per ulteriori informazioni sulla mappatura attributi, consultareMappatura degli attributi IdP su profili e token.

Il tuo SAML IdP deve includere le seguenti affermazioni nell'SAMLasserzione.

Quando Endpoint Authorize reindirizza l'utente alla pagina di accesso del tuo IdP, Amazon Cognito include una SAMLrichiesta in un parametro della richiesta. URL HTTP GET Una SAML richiesta contiene informazioni sul tuo pool di utenti, incluso l'endpoint. ACS Facoltativamente, puoi applicare una firma crittografica a queste richieste.

Ogni pool di utenti con un SAML provider genera una coppia di chiavi asimmetrica e un certificato di firma per una firma digitale che Amazon Cognito assegna alle richieste. SAML Ogni SAML IdP esterno che configuri per supportare la SAML risposta crittografata fa sì che Amazon Cognito generi una nuova coppia di chiavi e un nuovo certificato di crittografia per quel provider. Per visualizzare e scaricare i certificati con la chiave pubblica, scegli il tuo IdP nella scheda Esperienza di accesso della console Amazon Cognito.

Per stabilire un rapporto di fiducia con SAML le richieste provenienti dal tuo pool di utenti, fornisci al tuo IdP una copia del certificato di firma del pool di utenti SAML 2.0. Il tuo IdP potrebbe ignorare SAML le richieste firmate dal tuo pool di utenti se non configuri l'IdP per accettare le richieste firmate.

Amazon Cognito non accetta 8 caratteri a 4 byte UTF come 😐 oppure 𠮷 che il tuo IdP passa come valore di attributo. Puoi codificare il carattere in Base64, passarlo come testo e quindi decodificarlo nell'app.

Nell'esempio seguente, la richiesta di attributo non verrà accettata:

<saml2:Attribute Name="Name" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:unspecified">
  <saml2:AttributeValue xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="xsd:string">😐</saml2:AttributeValue>
</saml2:Attribute>

Contrariamente all'esempio precedente, la richiesta di attributo seguente verrà accettata:

<saml2:Attribute Name="Name" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:unspecified">
  <saml2:AttributeValue xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="xsd:string">8J+YkA==</saml2:AttributeValue>
</saml2:Attribute>

Se InvalidParameterException durante la creazione di un SAML IdP con un endpoint di HTTPS metadati viene visualizzato, ad esempioURL, «Errore nel recupero dei metadati da <metadata endpoint>», assicurati che l'endpoint di metadati sia configurato SSL correttamente e che sia associato un certificato valido. SSL Per ulteriori informazioni sulla convalida dei certificati, consulta What Is An SSL/Certificate? TLS .

Quando attivi il supporto per un IdP SAML 2.0 che supporta l'accesso avviato da IdP in un app client, puoi aggiungere solo altri SAML 2.0 IdPs a quell'app client. Ti viene impedito di aggiungere la directory utente nel pool di utenti e tutti i provider di identità non SAML esterni a un client di app configurato in questo modo.

L'/saml2/logoutendpoint accetta richieste LogoutResponse come HTTP POST richieste. I pool di utenti non accettano risposte di disconnessione con HTTP GET associazione.