View a markdown version of this page

Configurazione dell'autenticazione con provider di identità esterno (IdP) - AWS DevOps Agente
PrerequisitiCome funzionaConfigurazione dell'autenticazione IdP esternaGestione dell'accesso di utenti e gruppiAggiornamento della configurazione IdPIn che modo gli utenti accedono all'app web Agent SpaceGestione della sessioneConsiderazioni relative alla sicurezzaDisconnettere l'IdP esternoRisoluzione dei problemi

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Configurazione dell'autenticazione con provider di identità esterno (IdP)

L'autenticazione con provider di identità esterno (IdP) consente all'organizzazione di utilizzare un provider di OIDC-compatible identità esistente, come Okta o Microsoft Entra ID, per gestire l'accesso degli utenti all'applicazione web AWS DevOps Agent Space. Gli utenti accedono con le proprie credenziali aziendali direttamente tramite il tuo IdP, senza richiedere AWS IAM Identity Center.

Prerequisiti

Prima di configurare l'autenticazione IdP esterna, assicurati di avere:

  • Un provider di OIDC-compatible identità (Okta o Microsoft Entra ID)

  • Accesso da amministratore al tuo provider di identità

  • Autorizzazioni di amministratore per accedere alla console AWS DevOps dell'agente

  • Un Agent Space configurato o pronto per la creazione

Come funziona

Quando si configura l'autenticazione IdP esterna:

  • Gli utenti accedono all'URL dell'app web Agent Space

  • Vengono reindirizzati alla pagina di accesso del tuo provider di identità

  • Dopo l'autenticazione con le credenziali aziendali, vengono reindirizzati all'app Web

  • L'app Web scambia il token di autenticazione con AWS credenziali di breve durata assegnate all'Agent Space

Le sessioni sono valide fino a 8 ore. Le credenziali vengono aggiornate automaticamente utilizzando i token di aggiornamento OIDC senza richiedere agli utenti di autenticarsi nuovamente.

Configurazione dell'autenticazione IdP esterna

Passaggio 1: registra un'applicazione nel tuo provider di identità

Scegli il tuo provider di identità e segui le istruzioni di configurazione corrispondenti.

Opzione A: Okta

  1. Nella Console di amministrazione di Okta, vai su Applicazioni > Applicazioni e scegli Crea integrazione app

  2. Seleziona OIDC - OpenID Connect come metodo di accesso e Applicazione Web come tipo di applicazione. Seleziona Next (Successivo).

  3. Imposta un nome descrittivo per l'applicazione (ad esempio,) AWS DevOps Agent

  4. In Tipo di concessione, assicurati che sia selezionato quanto segue:

    • Codice di autorizzazione (predefinito)

    • Token di aggiornamento: necessario per l'aggiornamento della sessione. Se non è abilitato, gli utenti non saranno in grado di mantenere le sessioni.

Nota

Okta non abilita il tipo di concessione Refresh Token per impostazione predefinita. È necessario abilitarlo esplicitamente.

  1. Lascia gli URI di Sign-in reindirizzamento come valore predefinito per ora: li aggiornerai dopo aver configurato l'Agent Space

  2. In Assegnazioni, assegna gli utenti o i gruppi che dovrebbero avere accesso. L'assegnazione delle applicazioni controlla chi può accedere. Per ulteriori informazioni, vedere Gestione dell'accesso di utenti e gruppi.

  3. Seleziona Salva

  4. Nella scheda Generale dell'applicazione, annota i seguenti valori:

    • ID cliente

    • Segreto del cliente: scegli Copia per salvare questo valore in modo sicuro

  5. Annota il tuo dominio Okta: questo è l'URL dell'emittente (ad esempio,). https://dev-12345678.okta.com

Nota

Nella scheda Accedi, verifica che l'Emittente sia impostato sull'URL Okta (non su Dynamic). Ciò garantisce un URL stabile dell'emittente.

Nota

Non aggiungete un'attestazione di gruppo al token ID nella scheda Reclami del server di autorizzazione. AWS DevOps L'agente non utilizza l'appartenenza al gruppo del tuo IdP.

Opzione B: Microsoft Entra ID

  1. Nel portale di Azure, accedi a Microsoft Entra ID > Registrazioni app > Nuova registrazione

  2. Imposta un nome descrittivo (ad esempio,) AWS DevOps Agent

  3. In Tipi di account supportati, seleziona l'opzione appropriata per la tua organizzazione (in genere solo Account in questa directory organizzativa)

  4. Lascia vuoto l'URI di reindirizzamento per ora. Scegli Registra

  5. Nella pagina Panoramica dell'applicazione, prendete nota dei seguenti valori:

    • ID dell'applicazione (client): utilizzato come ID client durante la configurazione di Agent Space

    • ID directory (tenant): utilizzato per creare l'URL dell'emittente

  6. Accedi a Certificati e segreti > Nuovo segreto del cliente

    • Imposta una descrizione e un periodo di scadenza

    • Scegli Aggiungi e copia immediatamente il valore segreto: non verrà più mostrato

  7. L'URL dell'emittente per Entra ID segue questo formato. Sostituiscilo {tenant-id} con il tuo ID Directory (tenant) indicato nel passaggio 5:

    • https://login.microsoftonline.com/{tenant-id}/v2.0

Nota

Non abilitate l'attestazione opzionale del gruppo nella configurazione dei token. AWS DevOps L'agente non utilizza l'appartenenza al gruppo del tuo IdP.

Passaggio 2: abilitare l'Operator App con l'autenticazione IdP

  1. Nella console dell' AWS DevOps agente, seleziona il tuo Agent Space

  2. Vai alla scheda Accesso

  3. In Accesso utente, scegli Provider di identità esterno

  4. Nel modulo di configurazione, configura quanto segue:

    • Identity Provider: seleziona il tuo provider di identità (Okta o Microsoft Entra ID)

    • URL dell'emittente: l'URL dell'emittente OIDC del tuo provider di identità

    • ID cliente: l'ID del cliente dell'applicazione OIDC creata

    • Client Secret: il segreto del client dell'applicazione OIDC

  5. In Identity Provider Application Role Name, scegli una delle tre opzioni:

    • Auto-create un nuovo ruolo di DevOps agente (consigliato): crea un nuovo ruolo di servizio con le autorizzazioni appropriate

    • Assegna un ruolo esistente: utilizza un ruolo IAM esistente che hai già creato

    • Crea un nuovo ruolo di DevOps agente utilizzando un modello di policy: utilizza i dettagli forniti per creare il tuo ruolo nella console IAM

  6. Controlla l'avviso relativo all'URL di callback visualizzato nel modulo. Copia questo URL: dovrai aggiungerlo agli URI di reindirizzamento consentiti dal tuo provider di identità prima che gli utenti possano accedere.

  7. Scegli Connetti

Dopo aver scelto Connetti, la console visualizza la configurazione del provider di identità esterno con i seguenti dettagli:

  • Provider: il provider di identità selezionato

  • URL dell'emittente: l'URL dell'emittente OIDC configurato

  • ID cliente: l'ID del cliente configurato

  • Ruolo IAM ARN — Il ruolo IAM utilizzato per l'accesso degli utenti

  • URL di callback: configura questo URL nel tuo provider di identità come URI di reindirizzamento consentito

  • URL di accesso: utilizza questo URL per accedere all'app Web tramite il tuo provider di identità

Passaggio 3: aggiungi l'URL di callback al tuo provider di identità

Okta

  1. Nella Okta Admin Console, vai alla scheda Generale della tua applicazione

  2. In Login, scegli Modifica

  3. Aggiungi l'URL di callback come URI di Sign-in reindirizzamento:

    • https://{agentSpaceId}.aidevops.global.app.aws/authorizer/idp/callback

  4. (Facoltativo) Imposta l'URI di accesso di Initiate per abilitare l' IdP-initiated accesso dalla dashboard di Okta:

    • https://{agentSpaceId}.aidevops.global.app.aws/authorizer/idp/login

  5. (Consigliato) Aggiungi un URI di Sign-out reindirizzamento per reindirizzare gli utenti all'app Web dopo il logout. In caso contrario, gli utenti potrebbero visualizzare una pagina di errore quando si disconnettono:

    • https://{agentSpaceId}.aidevops.global.app.aws/authorizer/welcome

  6. Seleziona Salva

ID Microsoft Entra

  1. Nel portale di Azure, vai alla pagina di autenticazione dell'applicazione

  2. In Configurazioni della piattaforma, scegli Aggiungi una piattaforma > Web

  3. Inserisci l'URL di callback come URI di reindirizzamento:

    • https://{agentSpaceId}.aidevops.global.app.aws/authorizer/idp/callback

  4. (Facoltativo) Aggiungi un URI di reindirizzamento di disconnessione per reindirizzare gli utenti all'app Web dopo il logout:

    • https://{agentSpaceId}.aidevops.global.app.aws/authorizer/welcome

  5. Scegli Configura

Fase 4: Verifica la configurazione

  1. Accedi all'URL di accesso mostrato nella console:

    • https://{agentSpaceId}.aidevops.global.app.aws/authorizer/idp/login

  2. Dovresti essere reindirizzato alla pagina di accesso del tuo provider di identità

  3. Accedi con le tue credenziali aziendali

  4. Una volta completata l'autenticazione, verrai reindirizzato all'app web Agent Space

Gestione dell'accesso di utenti e gruppi

Con l'autenticazione IdP esterna, il provider di identità è il luogo in cui concedere e revocare l'accesso all'app web Agent Space.

Gestire l'accesso in Okta

L'assegnazione all'applicazione OIDC creata nella Fase 1 regola l'accesso.

Concedi l'accesso in Okta

  1. Nella Console di amministrazione di Okta, vai su Applicazioni e risorse > Applicazioni e seleziona la tua applicazione

  2. Scegli la scheda Assegnazioni

  3. Scegli Assegna, quindi scegli Assegna a persone o Assegna a gruppi

  4. Scegli Assegna accanto a ogni persona o gruppo, quindi scegli Fine

Assegna gruppi anziché singole persone laddove possibile. La manutenzione continua avviene quindi in Directory > Gruppi. L'aggiunta di qualcuno al gruppo concede l'accesso; la sua rimozione lo revoca, senza modificare l'applicazione.

Rimuovi l'accesso in Okta

  1. Nella scheda Assegnazioni, trova la persona o il gruppo

  2. Scegli l'icona X (Annulla assegnazione) e conferma

La rimozione di un gruppo revoca l'accesso a tutti coloro la cui unica assegnazione proveniva da quel gruppo. Se una persona viene assegnata anche direttamente, rimuovi anche l'assegnazione diretta.

Per revocare l'accesso di una persona a tutte le applicazioni con una sola azione, disattivale o sospendile in Directory > Persone.

Gestione dell'accesso in Microsoft Entra ID

L'ID Entra rappresenta l'applicazione come due oggetti e il secondo oggetto gestisce l'assegnazione di utenti e gruppi:

  • La registrazione dell'app (in Registrazioni app) memorizza l'ID del cliente, il segreto del cliente e gli URI di reindirizzamento. L'hai configurato nei passaggi 1 e 3.

  • L'applicazione aziendale (in Applicazioni aziendali), denominata anche service principal, gestisce le assegnazioni di utenti e gruppi e le proprietà di accesso.

Richiedi assegnazione

Per impostazione predefinita, un'applicazione registrata nel tenant è disponibile per tutti gli utenti del tenant che si autenticano correttamente. L'Entra ID non impone l'assegnazione finché non lo attivi.

  1. Nel portale di Azure o nell'interfaccia di amministrazione di Microsoft Entra, accedi alle applicazioni aziendali e seleziona la tua applicazione

  2. Scegli Proprietà

  3. Impostare l'assegnazione è obbligatoria? a Sì

  4. Seleziona Salva

Concedi l'accesso in Entra ID

  1. Accedi alle applicazioni aziendali e seleziona la tua applicazione

  2. Scegli Utenti e gruppi

  3. Scegli Aggiungi user/group

  4. Seleziona gli utenti o i gruppi, quindi scegli Assegna

Rimuovi l'accesso in Entra ID

  1. Nella pagina Utenti e gruppi, seleziona l'assegnazione

  2. Scegli Rimuovi e conferma

Per rimuovere l'accesso di un utente a tutte le applicazioni, disabilita l'account. Vai su Utenti, seleziona l'utente e imposta Account abilitato su No.

Aggiornamento della configurazione IdP

Puoi ruotare il segreto del client senza disconnetterti:

  1. Nella console dell' AWS DevOps agente, seleziona il tuo Agent Space

  2. Vai alla scheda Accesso

  3. In Configurazione del provider di identità esterno, scegli Ruota il segreto del client

  4. Inserisci il nuovo segreto del cliente

  5. Seleziona Salva

Per modificare qualsiasi altro campo di configurazione dell'IdP (come l'URL dell'emittente, l'ID client o il provider di identità), è necessario disconnettere l'IdP esistente e configurarne uno nuovo.

In che modo gli utenti accedono all'app web Agent Space

Dopo aver configurato l'autenticazione IdP esterna:

  • Verifica che gli utenti siano assegnati all'applicazione OIDC nel tuo provider di identità. Per ulteriori informazioni, vedere Gestione dell'accesso di utenti e gruppi.

  • Condividi l'URL dell'app web Agent Space con utenti autorizzati

  • Quando gli utenti accedono all'URL, vengono reindirizzati alla pagina di accesso del provider di identità

  • Dopo aver inserito le proprie credenziali (e aver completato l'MFA se configurato dal tuo IdP), vengono reindirizzati all'app web Agent Space

  • Le sessioni si aggiornano automaticamente: vedi Gestione delle sessioni per i dettagli #session-management

Gestione della sessione

Le sessioni IdP esterne per l'app web Agent Space hanno le seguenti caratteristiche:

  • Durata della sessione: le sessioni del browser durano fino a 8 ore. Questo non è configurabile in AWS DevOps Agent. Se la durata della sessione del tuo IdP supera le 8 ore, gli utenti possono essere riautenticati automaticamente alla visita successiva senza inserire le credenziali. Configura la durata della sessione e dei token del tuo IdP in base ai requisiti di sicurezza della tua organizzazione.

  • Aggiornamento delle credenziali: le sessioni vengono aggiornate automaticamente utilizzando i token di aggiornamento OIDC senza richiedere agli utenti di autenticarsi nuovamente

  • Multi-factor autenticazione: supportata se configurata nel provider di identità. L'IdP gestisce l'MFA durante l'accesso: non è necessaria alcuna configurazione aggiuntiva in Agent AWS DevOps

Comportamento di disconnessione

Quando un utente fa clic su Esci nell'app Web:

  1. Tutti i cookie di sessione vengono cancellati immediatamente

  2. L'utente viene reindirizzato all'endpoint di logout OIDC del provider di identità per terminare la sessione SSO

  3. Se è configurato un URI di reindirizzamento per la disconnessione, l'utente viene reindirizzato alla pagina di benvenuto dell'app Web

Revoca dell'accesso degli utenti

Per revocare immediatamente l'accesso di un utente, puoi revocare le sue sessioni direttamente nel portale di amministrazione del tuo provider di identità:

  • Okta: nella console di amministrazione di Okta, vai a Directory > Persone, seleziona l'utente, scegli Altre azioni > Cancella sessioni utente

  • Microsoft Entra ID: nel portale di Azure, accedi a Utenti, seleziona l'utente e scegli Revoca sessioni

Considerazioni relative alla sicurezza

Archiviazione segreta del client: il segreto del client fornito durante la configurazione viene crittografato utilizzando la chiave KMS gestita dal cliente, se ne hai fornita una durante la creazione di Agent Space, o una chiave di proprietà del servizio in caso contrario. Non viene mai restituito nelle risposte API o visualizzato nella console dopo la configurazione iniziale.

Rotazione segreta del cliente: i segreti dei client Entra hanno una scadenza configurabile. Imposta un promemoria per ruotare il segreto prima che scada utilizzando l'opzione Ruota il segreto del client nella console dell'agente. AWS DevOps Se il segreto scade, gli utenti non potranno accedere finché non verrà ruotato.

Gestione della durata dei token: la durata dei token (token di accesso, token di aggiornamento) emessi dal tuo provider di identità è controllata dalla configurazione del tuo IdP. Ti consigliamo di configurare la durata appropriata dei token nel tuo IdP:

Dichiarazione dei gruppi: non abilitare l'attestazione dei gruppi nella configurazione dei token del provider di identità. AWS DevOps L'agente attualmente non utilizza l'appartenenza al gruppo del tuo IdP.

Identificatore utente: l' AWS DevOps agente utilizza un'attestazione specifica del provider per identificare in modo univoco gli utenti:

  • Okta: utilizza il claim del token ID sub

  • Microsoft Entra ID: utilizza l'attestazione oid (identificatore dell'oggetto) del token ID

Questi identificatori sono immutabili e vengono visualizzati nei CloudTrail registri a scopo di controllo.

Disconnettere l'IdP esterno

  1. Nella console dell' AWS DevOps agente, seleziona il tuo Agent Space

  2. Vai alla scheda Accesso

  3. In Accesso utente, scegli Disconnetti

  4. Rivedi gli impatti elencati nella finestra di dialogo di conferma e conferma

La disconnessione comporterà:

  • Rimuoverà la configurazione IdP dall'Agent Space

  • Impedisci agli utenti di accedere tramite il provider di identità esterno

  • Rimuovi la cronologia delle singole chat e degli artefatti associata agli account utente IdP

Le sessioni utente attive continueranno fino alla scadenza o al successivo aggiornamento delle credenziali non riuscito.

Risoluzione dei problemi

  • Il reindirizzamento a IdP non riesce: verifica che l'URL dell'emittente corrisponda all'endpoint di rilevamento OIDC del tuo IdP. Per Okta, assicurati che l'emittente sia impostato su Okta URL (non dinamico) nella scheda Accedi. Per Entra, usa il formato. https://login.microsoftonline.com/{tenant-id}/v2.0

  • Accesso negato o errore nei criteri (Okta): verifica che l'utente o il suo gruppo sia assegnato all'applicazione in Assegnazioni. Seleziona Accedi > Regole della politica di accesso.

  • Errore di configurazione dell'IdP dopo l'accesso: il tuo provider di identità non ha restituito un token di aggiornamento. Assicurati che l'offline_accessambito e il tipo di concessione del token di aggiornamento siano abilitati:

    • Okta: vai alla scheda Generale dell'applicazione e abilita la casella di controllo Refresh Token in Tipo di concessione

    • Entra: vai alle autorizzazioni API e assicurati che sia elencato nella sezione Autorizzazioni offline_access delegate

  • L'autenticazione ha esito positivo ma l'app Web mostra un errore: verifica che l'URI di reindirizzamento nel tuo IdP corrisponda esattamente all'URL di callback mostrato nella console dell'agente. AWS DevOps

  • Errori di autenticazione: se l'attestazione opzionale del gruppo è abilitata nel tuo IdP, disabilitala. AWS DevOps L'agente non utilizza le attestazioni di gruppo.

  • L'accesso non riesce dopo l'autenticazione IdP: per Entra, la verifica non requestedAccessTokenVersion è impostata su null nel manifesto dell'applicazione. Per Okta, verifica che l'URL dell'emittente sia corretto.

  • Pagina di errore dopo aver scelto Logout (Okta): se visualizzi un post_logout_redirect_uri errore dopo la disconnessione, aggiungi https://{agentSpaceId}.aidevops.global.app.aws/authorizer/welcome come URI di Sign-out reindirizzamento nella scheda Generale dell'applicazione Okta.

  • Gli utenti rimangono sulla pagina del provider di identità dopo il logout (Entra): per reindirizzare gli utenti all'app Web dopo il logout, aggiungi https://{agentSpaceId}.aidevops.global.app.aws/authorizer/welcome come URI di reindirizzamento nella pagina di autenticazione dell'applicazione Entra.