Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
Utilizzo di applicazioni con un emittente di token affidabile
Gli emittenti di token affidabili consentono di utilizzare la propagazione affidabile dell'identità con applicazioni che eseguono l'autenticazione all'esterno. AWS Con emittenti di token affidabili, puoi autorizzare queste applicazioni a effettuare richieste per conto dei loro utenti per accedere alle applicazioni gestite. AWS
I seguenti argomenti descrivono il funzionamento degli emittenti di token affidabili e forniscono indicazioni sulla configurazione.
Argomenti
Panoramica degli emittenti di token affidabili
La propagazione affidabile delle identità fornisce un meccanismo che consente alle applicazioni che si autenticano all'esterno di AWS effettuare richieste per conto dei propri utenti con l'uso di un emittente di token affidabile. Un emittente di token attendibile è un server di autorizzazione OAuth 2.0 che crea token firmati. Questi token autorizzano le applicazioni che avviano richieste (applicazioni richiedenti) di accesso a (applicazioni riceventi). Servizi AWS Le applicazioni richiedenti avviano richieste di accesso per conto degli utenti autenticati dall'emittente del token affidabile. Gli utenti sono noti sia all'emittente di token attendibile che a IAM Identity Center.
Servizi AWS che ricevono richieste gestiscono autorizzazioni granulari alle proprie risorse in base agli utenti e all'appartenenza al gruppo, come indicato nella directory di Identity Center. Servizi AWS non possono utilizzare direttamente i token dell'emittente di token esterno.
Per risolvere questo problema, IAM Identity Center consente all'applicazione richiedente, o a un AWS driver utilizzato dall'applicazione richiedente, di scambiare il token emesso dall'emittente di token attendibile con un token generato da IAM Identity Center. Il token generato da IAM Identity Center si riferisce all'utente IAM Identity Center corrispondente. L'applicazione richiedente, o il driver, utilizza il nuovo token per avviare una richiesta all'applicazione ricevente. Poiché il nuovo token fa riferimento all'utente corrispondente in IAM Identity Center, l'applicazione ricevente può autorizzare l'accesso richiesto in base all'utente o alla sua appartenenza al gruppo, come rappresentato in IAM Identity Center.
Importante
La scelta di un server di autorizzazione OAuth 2.0 da aggiungere come emittente di token attendibile è una decisione di sicurezza che richiede un'attenta valutazione. Scegli solo emittenti di token affidabili per eseguire le seguenti attività:
-
Autentica l'utente specificato nel token.
-
Autorizza l'accesso di quell'utente all'applicazione ricevente.
-
Genera un token che IAM Identity Center può scambiare con un token creato da IAM Identity Center.
Prerequisiti e considerazioni per gli emittenti di token affidabili
Prima di configurare un emittente di token affidabile, esamina i seguenti prerequisiti e considerazioni.
-
Configurazione dell'emittente di token attendibile
È necessario configurare un server di autorizzazione OAuth 2.0 (l'emittente di token attendibile). Sebbene l'emittente di token attendibile sia in genere il provider di identità utilizzato come fonte di identità per IAM Identity Center, non è necessario che lo sia. Per informazioni su come configurare l'emittente di token attendibile, consulta la documentazione del fornitore di identità pertinente.
Nota
Puoi configurare fino a 10 emittenti di token attendibili da utilizzare con IAM Identity Center, a condizione che mappi l'identità di ciascun utente nell'emittente di token attendibili a un utente corrispondente in IAM Identity Center.
-
Il server di autorizzazione OAuth 2.0 (l'emittente di token affidabile) che crea il token deve disporre di un endpoint di rilevamento
OpenID Connect (OIDC) che IAM Identity Center può utilizzare per ottenere chiavi pubbliche per verificare le firme dei token. Per ulteriori informazioni, consulta URL dell'endpoint di rilevamento OIDC (URL dell'emittente). -
Token emessi dall'emittente di token affidabile
I token dell'emittente di token attendibile devono soddisfare i seguenti requisiti:
-
Il token deve essere firmato e in formato
JSON Web Token (JWT) utilizzando l'algoritmo RS256. -
Il token deve contenere i seguenti claim:
-
Emittente
(iss): l'entità che ha emesso il token. Questo valore deve corrispondere al valore configurato nell’endpoint di individuazione di OIDC (URL dell’emittente) nell’emittente di token attendibile. -
Oggetto
(sub): l'utente autenticato. -
Pubblico
(aud): il destinatario previsto del token. Questo è il numero a cui si accederà dopo Servizio AWS che il token è stato scambiato con un token dallo IAM Identity Center. Per ulteriori informazioni, consulta Reclamo Aud. -
Ora di scadenza
(exp): il tempo dopo il quale scade il token.
-
-
Il token può essere un token di identità o un token di accesso.
-
Il token deve avere un attributo che può essere mappato in modo univoco a un utente dello IAM Identity Center.
Nota
L'utilizzo di una chiave di firma personalizzata per JWT da Microsoft Entra ID non è supportato. Per utilizzare i token di un emittente di Microsoft Entra ID token affidabile, non è possibile utilizzare una chiave di firma personalizzata.
-
-
Reclami opzionali
IAM Identity Center supporta tutte le attestazioni opzionali definite nella RFC 7523. Per ulteriori informazioni, vedere la Sezione 3: Formato JWT e requisiti
di elaborazione di questa RFC. Ad esempio, il token può contenere un claim JTI (JWT ID).
Questa dichiarazione, se presente, impedisce il riutilizzo dei token con lo stesso JTI per gli scambi di token. Per ulteriori informazioni sulle dichiarazioni di JTI, consulta. Dettagli del reclamo JTI -
Configurazione di IAM Identity Center per funzionare con un emittente di token affidabile
È inoltre necessario abilitare IAM Identity Center, configurare l'origine dell'identità per IAM Identity Center e assegnare gli utenti corrispondenti agli utenti nella directory dell'emittente del token affidabile.
A tale scopo, è necessario effettuare una delle seguenti operazioni:
-
Sincronizza gli utenti in IAM Identity Center utilizzando il protocollo System for Cross-domain Identity Management (SCIM) 2.0.
-
Crea gli utenti direttamente in IAM Identity Center.
-
Dettagli del reclamo JTI
Se IAM Identity Center riceve una richiesta di scambio di un token che IAM Identity Center ha già scambiato, la richiesta ha esito negativo. Per rilevare e impedire il riutilizzo di un token per lo scambio di token, puoi includere un claim JTI. IAM Identity Center protegge dalla riproduzione dei token in base ai claim contenuti nel token.
Non tutti i server di autorizzazione OAuth 2.0 aggiungono un claim JTI ai token. Alcuni server di autorizzazione OAuth 2.0 potrebbero non consentire di aggiungere un JTI come attestazione personalizzata. I server di autorizzazione OAuth 2.0 che supportano l'uso di un'attestazione JTI potrebbero aggiungere questa attestazione solo ai token di identità, solo ai token di accesso o a entrambi. Per ulteriori informazioni, consulta la documentazione del tuo server di autorizzazione OAuth 2.0.
Per informazioni sulla creazione di applicazioni che scambiano token, consulta la documentazione dell'API IAM Identity Center. Per informazioni sulla configurazione di un'applicazione gestita dal cliente per ottenere e scambiare i token corretti, consulta la documentazione dell'applicazione.
