커넥터 개발자를 위한 일반/사용자 지정 권한 부여 요구 사항

일반 권한 부여를 사용하면 커넥터가 OAuth 2.0 사용자 토큰 대신 자격 증명(예: API 키, 토큰 또는 사용자 이름/암호 조합)을 사용할 수 있습니다. 계정 연결을 통해 사용자 수준 권한을 제공하는 OAuth 2.0과 달리 일반 권한 부여를 사용하면 단일 자격 증명 세트가 여러 최종 사용자에 걸쳐 디바이스를 제어할 수 있습니다.

이 섹션에서는 커넥터 AWS Lambda 함수에서 일반 권한 부여 지원을 구현하는 방법을 설명합니다. 기존 커넥터에 대한 일반 승인을 구성하는 고객인 경우 섹션을 참조하세요일반/사용자 지정 권한 부여 요구 사항.

일반 승인이란 무엇입니까?

일반 권한 부여는 커넥터가 고객 자격 증명을 사용하여 타사 플랫폼으로 권한을 부여할 수 있는 비 OAuth 권한 부여 메커니즘입니다. 일반 승인을 통해 관리형 통합은 자격 증명 관리를 커넥터에 위임하고 단일 자격 증명 세트는 여러 최종 사용자에 걸쳐 디바이스를 제어할 수 있습니다.

이는 디바이스 공급업체와 비즈니스 관계가 있고 개별 사용자 권한 부여 흐름 없이 대규모로 디바이스를 관리해야 하는 시나리오에 유용합니다.

일반 권한 부여를 사용해야 하는 경우

다음과 같은 경우 커넥터에서 일반 승인 지원을 구현하는 것이 좋습니다.

일반 권한 부여에서를 사용하는 방법 AWS Secrets Manager

AWS Secrets Manager 는 API 키 및 토큰과 같은 민감한 자격 증명을 보호하는 보안 암호 스토리지 서비스입니다. 보안 암호는 AWS Key Management Service 키를 사용하여 암호화됩니다. 자세한 내용은 AWS Secrets Manager 사용 설명서를 참조하십시오.

일반 권한 부여의 경우 고객은 Secrets Manager에 권한 부여 자격 증명을 저장하고 C2C 커넥터에 이러한 보안 암호에 액세스할 수 있는 권한을 부여합니다. 관리형 통합은 커넥터를 호출할 때 요청 헤더에 Secrets Manager ARN 및 버전 ID를 제공합니다. 커넥터는 보안 암호 값을 검색하고 이를 사용하여 타사 플랫폼으로 권한을 부여합니다.

이 접근 방식을 사용하면 관리형 통합이 장기 자격 증명을 직접 처리하지 않습니다. 커넥터는 자격 증명 관리 및 토큰 생성을 완벽하게 제어하여 타사 플랫폼에서 지원하는 모든 권한 부여 메커니즘으로 솔루션을 확장할 수 있습니다.

일반 권한 부여 요청 형식

Managed Integrations가 일반 승인 계정 연결을 위해 커넥터를 호출하면 요청 헤더에 OAuth 토큰 대신 AWS Secrets Manager 참조가 포함됩니다. 요청 구조는 모든 커넥터 작업(AWS.ActivateUser, AWS.DiscoverDevices, AWS.SendCommand및 AWS.DeactivateUser)에서 일관됩니다.

{
  "header": {
    "auth": {
      "secretsManager": {
        "arn": "arn:aws:secretsmanager:us-east-1:123456789012:secret:my-api-key-AbCdEf",
        "versionId": "a1b2c3d4-5678-90ab-cdef-1234567890ab"
      },
      "type": "GeneralAuthorization"
    }
  },
  "payload": {
    "operationName": "AWS.DiscoverDevices",
    "operationVersion": "1.0",
    "connectorId": "Your-Connector-Id",
    ...
  }
}

{
  "header": {
    "auth": {
      "token": "ashriu32yr97feqy7afsaf",
      "type": "OAuth2.0"
    }
  },
  "payload": {
    "operationName": "AWS.DiscoverDevices",
    "operationVersion": "1.0",
    "connectorId": "Your-Connector-Id",
    ...
  }
}

일반 권한 부여 워크플로

커넥터가 일반 승인 요청을 받으면 다음 워크플로를 따릅니다.

GeneralAuthorization에 대한 Lambda 권한

커넥터 Lambda 실행 역할에는 고객의에서 보안 암호를 검색할 수 있는 권한이 있어야 합니다 AWS Secrets Manager. Lambda 실행 역할 정책에 다음 권한을 추가합니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "secretsmanager:GetSecretValue"
      ],
      "Resource": "arn:aws:secretsmanager:*:*:secret:*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "kms:Decrypt"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "kms:ViaService": "secretsmanager.*.amazonaws.com"
        }
      }
    }
  ]
}

권한 설명

또한 고객은 Lambda에 보안 암호의 리소스 정책을 통해 특정 보안 암호에 액세스할 수 있는 권한을 부여합니다.