コネクタ開発者向けの一般/カスタム認可要件

一般的な認可により、コネクタは OAuth 2.0 ユーザートークンの代わりに認証情報 (API キー、トークン、ユーザー名/パスワードの組み合わせなど) を使用できます。アカウントリンクを通じてユーザーレベルの認可を提供する OAuth 2.0 とは異なり、一般認可では、単一の認証情報セットで複数のエンドユーザー間でデバイスを制御できます。

このセクションでは、コネクタ AWS Lambda 関数に一般的な認可サポートを実装する方法について説明します。既存のコネクタの一般認可を設定しているお客様は、「」を参照してください一般/カスタム認可要件。

一般認可とは

一般認可は、コネクタが顧客の認証情報を使用してサードパーティープラットフォームで認可できるようにする OAuth 以外の認可メカニズムです。全般認可では、 Managed Integrations は認証情報管理をコネクタに委任し、単一の認証情報セットで複数のエンドユーザーのデバイスを制御できます。

これは、デバイスベンダーとビジネス関係があり、個々のユーザー認可フローなしでデバイスを大規模に管理する必要があるシナリオに役立ちます。

一般認可を使用するタイミング

次の場合は、コネクタに一般的な認可サポートを実装することを検討してください。

General Authorization が を使用する方法 AWS Secrets Manager

AWS Secrets Manager は、API キーやトークンなどの機密情報を保護するシークレットストレージサービスです。シークレットは AWS Key Management Service キーを使用して暗号化されます。詳細については、「AWS Secrets Manager ユーザーガイド」を参照してください。

一般認可の場合、お客様は認可認証情報を Secrets Manager に保存し、これらのシークレットにアクセスするためのアクセス許可を C2C コネクタに付与します。マネージド統合がコネクタを呼び出すと、リクエストヘッダーに Secrets Manager の ARN とバージョン ID が提供されます。コネクタはシークレット値を取得し、それを使用してサードパーティープラットフォームで を認可します。

このアプローチにより、マネージド統合が長期的な認証情報を直接処理することがなくなります。コネクタは認証情報管理とトークン生成を完全に制御し、サードパーティープラットフォームでサポートされている認可メカニズムにソリューションを拡張できるようにします。

一般的な認可リクエスト形式

Managed Integrations が一般認可アカウントの関連付けのためにコネクタを呼び出すと、リクエストヘッダーには OAuth トークンではなく AWS Secrets Manager リファレンスが含まれます。リクエスト構造は、すべてのコネクタオペレーション (AWS.ActivateUser、AWS.DiscoverDevices、AWS.SendCommand、) で一貫していますAWS.DeactivateUser。

{
  "header": {
    "auth": {
      "secretsManager": {
        "arn": "arn:aws:secretsmanager:us-east-1:123456789012:secret:my-api-key-AbCdEf",
        "versionId": "a1b2c3d4-5678-90ab-cdef-1234567890ab"
      },
      "type": "GeneralAuthorization"
    }
  },
  "payload": {
    "operationName": "AWS.DiscoverDevices",
    "operationVersion": "1.0",
    "connectorId": "Your-Connector-Id",
    ...
  }
}

{
  "header": {
    "auth": {
      "token": "ashriu32yr97feqy7afsaf",
      "type": "OAuth2.0"
    }
  },
  "payload": {
    "operationName": "AWS.DiscoverDevices",
    "operationVersion": "1.0",
    "connectorId": "Your-Connector-Id",
    ...
  }
}

一般的な認可ワークフロー

コネクタが一般認可リクエストを受け取ったら、次のワークフローに従います。

GeneralAuthorization の Lambda アクセス許可

コネクタ Lambda 実行ロールには、顧客の からシークレットを取得するアクセス許可が必要です AWS Secrets Manager。Lambda 実行ロールポリシーに次のアクセス許可を追加します。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "secretsmanager:GetSecretValue"
      ],
      "Resource": "arn:aws:secretsmanager:*:*:secret:*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "kms:Decrypt"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "kms:ViaService": "secretsmanager.*.amazonaws.com"
        }
      }
    }
  ]
}

アクセス許可の説明

また、お客様は、シークレットのリソースポリシーを通じて特定のシークレットにアクセスするアクセス許可を Lambda に付与します。