Obter a impressão digital para um provedor de identidade OpenID Connect

A fim de obter a impressão digital para um IdP OIDC, você precisa obter a ferramenta de linha de comando OpenSSL. Use esta ferramenta para baixar a cadeia de certificados do IdP OIDC e gerar uma impressão digital do certificado final na cadeia de certificados. Se você precisar instalar e configurar o OpenSSL, siga as instruções em Instalar o OpenSSL e Configurar o OpenSSL.

Comece com o URL do IdP OIDC (por exemplo, https://server.example.com) e, em seguida, adicione /.well-known/openid-configuration para formar o URL para o documento de configuração do IdP, como o seguinte:

https://server.example.com/.well-known/openid-configuration

Abra este URL em um navegador da Web, substituindo server.example.com pelo nome do seu servidor IdP.

No documento exibido, use o recurso Find (Localizar) do navegador da Web para localizar o texto "jwks_uri". Imediatamente após o texto "jwks_uri" você verá dois pontos (:) seguidos por um URL. Copie o nome de domínio totalmente qualificado do URL. Não inclua https:// nem qualquer caminho que venha após o domínio de nível superior.

{
 "issuer": "https://accounts.example.com",
 "authorization_endpoint": "https://accounts.example.com/o/oauth2/v2/auth",
 "device_authorization_endpoint": "https://oauth2.exampleapis.com/device/code",
 "token_endpoint": "https://oauth2.exampleapis.com/token",
 "userinfo_endpoint": "https://openidconnect.exampleapis.com/v1/userinfo",
 "revocation_endpoint": "https://oauth2.exampleapis.com/revoke",
 "jwks_uri": "https://www.exampleapis.com/oauth2/v3/certs",
...
      

Use a ferramenta de linha de comando OpenSSL para executar o comando a seguir. Substitua keys.example.com pelo nome de domínio que você obteve em Passo 3.

openssl s_client -servername keys.example.com -showcerts -connect keys.example.com:443

Na janela de comando, role até ver um certificado semelhante ao exemplo a seguir. Se você vir mais de um certificado, encontre o último certificado exibido (no final da saída do comando). Ele contém o certificado da principal CA intermediária na cadeia de autoridade de certificação.

-----BEGIN CERTIFICATE-----
 MIICiTCCAfICCQD6m7oRw0uXOjANBgkqhkiG9w0BAQUFADCBiDELMAkGA1UEBhMC
 VVMxCzAJBgNVBAgTAldBMRAwDgYDVQQHEwdTZWF0dGxlMQ8wDQYDVQQKEwZBbWF6
 b24xFDASBgNVBAsTC0lBTSBDb25zb2xlMRIwEAYDVQQDEwlUZXN0Q2lsYWMxHzAd
 BgkqhkiG9w0BCQEWEG5vb25lQGFtYXpvbi5jb20wHhcNMTEwNDI1MjA0NTIxWhcN
 MTIwNDI0MjA0NTIxWjCBiDELMAkGA1UEBhMCVVMxCzAJBgNVBAgTAldBMRAwDgYD
 VQQHEwdTZWF0dGxlMQ8wDQYDVQQKEwZBbWF6b24xFDASBgNVBAsTC0lBTSBDb25z
 b2xlMRIwEAYDVQQDEwlUZXN0Q2lsYWMxHzAdBgkqhkiG9w0BCQEWEG5vb25lQGFt
 YXpvbi5jb20wgZ8wDQYJKoZIhvcNAQEBBQADgY0AMIGJAoGBAMaK0dn+a4GmWIWJ
 21uUSfwfEvySWtC2XADZ4nB+BLYgVIk60CpiwsZ3G93vUEIO3IyNoH/f0wYK8m9T
 rDHudUZg3qX4waLG5M43q7Wgc/MbQITxOUSQv7c7ugFFDzQGBzZswY6786m86gpE
 Ibb3OhjZnzcvQAaRHhdlQWIMm2nrAgMBAAEwDQYJKoZIhvcNAQEFBQADgYEAtCu4
 nUhVVxYUntneD9+h8Mg9q6q+auNKyExzyLwaxlAoo7TJHidbtS4J5iNmZgXL0Fkb
 FFBjvSfpJIlJ00zbhNYS5f6GuoEDmFJl0ZxBHjJnyp378OD8uTs7fLvjx79LjSTb
 NYiytVbZPQUQ5Yaxu2jXnimvw3rrszlaEXAMPLE=
 -----END CERTIFICATE-----

Copie o certificado (incluindo as linhas -----BEGIN CERTIFICATE----- e -----END CERTIFICATE-----) e cole-o em um arquivo de texto. Em seguida, salve o arquivo com o nome certificate.crt.

Use a ferramenta de linha de comando OpenSSL para executar o comando a seguir.

openssl x509 -in certificate.crt -fingerprint -sha1 -noout

Sua janela de comando exibe a miniatura do certificado, que é similar ao exemplo a seguir:

SHA1 Fingerprint=99:0F:41:93:97:2F:2B:EC:F1:2D:DE:DA:52:37:F9:C9:52:F2:0D:9E

Remova os caracteres de dois pontos (:) desta string para produzir a impressão digital final, desta forma:

990F4193972F2BECF12DDEDA5237F9C952F20D9E

Se você estiver criando o provedor de identidade OIDC do IAM com a AWS CLI, o Tools for Windows PowerShell ou a API do IAM, é opcional fornecer uma impressão digital. Se você optar por não incluir uma impressão digital durante a criação, o IAM recuperará a impressão digital da CA intermediária superior do certificado do servidor do IdP OIDC. Depois que o provedor de identidade OIDC do IAM for criado, você poderá comparar essa impressão digital com a impressão digital recuperada pelo IAM.

Se você estiver criando o provedor de identidade OIDC do IAM no console do IAM, o console tenta recuperar a impressão digital da CA intermediária superior do certificado de servidor IdP do OIDC para você. É possível comparar essa impressão digital com a impressão digital recuperada pelo IAM. Depois que o provedor de identidade OIDC do IAM for criado, você poderá ver a impressão digital do provedor de identidade OIDC do IAM na guia Verificação de endpoint na página do console Resumo do provedor OIDC.

Acesse OpenSSL: Source, Tarballs (https://openssl.org/source/).

Baixe a fonte mais recente e crie o pacote.

AcesseOpenSSL: distribuições binárias(https://wiki.openssl.org/index.php/Binaries) para obter uma lista de sites por meio dos quais você pode instalar a versão do Windows.

Siga as instruções no site selecionado para iniciar a instalação.

Se for solicitado que você instale os Redistribuíveis do Microsoft Visual C++ 2008 e eles ainda não estiverem instalados no seu sistema, escolha o link de download apropriado para o seu ambiente. Siga as instruções fornecidas pelo Assistente de instalação de redistribuível do Microsoft Visual C++ 2008.

Depois de ter instalado os redistribuíveis do Microsoft Visual C++ 2008, selecione a versão apropriada dos binários OpenSSL para o seu ambiente e salve o arquivo localmente. Inicie o Assistente de configuração do OpenSSL.

Siga as instruções descritas no OpenSSL Setup Wizard (Assistente de configuração do OpenSSL).

Na linha de comando, defina a variável OpenSSL_HOME para o local da instalação do OpenSSL:

$ export OpenSSL_HOME=path_to_your_OpenSSL_installation

Defina o caminho para incluir a instalação do OpenSSL:

$ export PATH=$PATH:$OpenSSL_HOME/bin

Abra a janela Command Prompt (Prompt de comando).

Defina a variável OpenSSL_HOME para o local da instalação do OpenSSL:

C:\> set OpenSSL_HOME=path_to_your_OpenSSL_installation

Defina a variável OpenSSL_CONF para o local do arquivo de configuração em sua instalação do OpenSSL:

C:\> set OpenSSL_CONF=path_to_your_OpenSSL_installation\bin\openssl.cfg

Defina o caminho para incluir a instalação do OpenSSL:

C:\> set Path=%Path%;%OpenSSL_HOME%\bin