Mapeamento de atributos de IdP para perfis e tokens

• Quando um usuário federado faz login em sua aplicação, deve haver um mapeamento para cada atributo que seu grupo de usuários exige. Por exemplo, se seu grupo de usuários exigir um atributo email para cadastro, mapeie esse atributo ao seu equivalente usando o IdP.

• Por padrão, os endereços de e-mail mapeados não são verificados. Não é possível verificar um endereço de e-mail mapeado usando um código único. Em vez disso, mapeie um atributo usando o IdP para obter o status de verificação. Por exemplo, o Google e a maioria dos provedores de OIDC incluem o atributo email_verified.

• É possível associar tokens do provedor de identidades (IdP) a atributos personalizados no grupo de usuários. Os provedores sociais apresentam um token de acesso e os provedores de OIDC apresentam um token de acesso e ID. Para associar um token, adicione um atributo personalizado com 2.048 caracteres, no máximo, conceda ao cliente da aplicação acesso de gravação ao atributo e associe access_token ou id_token do IdP ao atributo personalizado.

• Para cada atributo mapeado do grupo de usuários, a extensão máxima do valor de 2.048 caracteres deve ser suficiente para o valor que o Amazon Cognito obtém do IdP. Caso contrário, o Amazon Cognito vai relatar um erro quando os usuários acessarem sua aplicação. O Amazon Cognito não comporta mapeamento de tokens de IdP a atributos personalizados quando os tokens têm mais de 2.048 caracteres.

• O Amazon Cognito gera o atributo username no perfil de um usuário federado com base em reivindicações específicas transmitidas por seu IdP federado, conforme mostra a tabela a seguir. O Amazon Cognito anexa esse valor de atributo com o nome de seu IdP, por exemplo, MyOIDCIdP_[sub]. Quando você quiser que seus usuários federados tenham um atributo que corresponda exatamente a um atributo em seu diretório de usuários externo, mapeie esse atributo para um atributo de login do Amazon Cognito, como preferred_username.

  Provedor de identidades	Atributo de origem username
  Facebook	id
  Google	sub
  Login with Amazon	user_id
  Fazer login com a Apple	sub
  Provedores SAML	NameID
  Provedores OpenID Connect (OIDC)	sub

• Quando um grupo de usuários não diferencia maiúsculas de minúsculas, o Amazon Cognito converte o atributo de origem do nome de usuário em minúsculas nos nomes de usuário gerados automaticamente pelos usuários federados. Veja a seguir um exemplo de nome de usuário para um grupo de usuários que diferencia maiúsculas de minúsculas: MySAML_TestUser@example.com. A seguir, veja o mesmo nome de usuário para um grupo de usuários que não diferencia maiúsculas de minúsculas: MySAML_testuser@example.com.

  Em grupos de usuários que não diferenciam maiúsculas de minúsculas, seus acionadores do Lambda que processam o nome de usuário devem considerar essa modificação em qualquer reivindicação de maiúsculas e minúsculas para atributos de origem de nome de usuário. Para vincular seu IdP a um grupo de usuários que tenha uma configuração de diferenciação de maiúsculas e minúsculas diferente do grupo de usuários atual, crie um grupo de usuários.

• O Amazon Cognito deve ser capaz de atualizar seus atributos mapeados do grupo de usuários quando os usuários fazem login na sua aplicação. Quando um usuário faz login por meio de um IdP, o Amazon Cognito atualiza os atributos mapeados com as informações mais recentes do IdP. O Amazon Cognito atualiza cada atributo mapeado, mesmo se o valor atual corresponder às informações mais recentes. Para garantir que o Amazon Cognito possa atualizar os atributos, verifique os seguintes requisitos:

  • Todos os atributos personalizados do grupo de usuários mapeados por meio do IdP devem ser mutáveis. É possível atualizar atributos personalizados mutáveis a qualquer momento. Entretanto, você só pode definir um valor para o atributo personalizado imutável ao criar o perfil de usuário pela primeira vez. Para criar um atributo personalizado mutável no console do Amazon Cognito, ative a caixa de seleção Mutable (Mutável) correspondente ao atributo adicionado ao selecionar Add custom attributes (Adicionar atributos personalizados) na guia Sign-up experience (Experiência de inscrição). Ou, se você criar o grupo de usuários com CreateUserPool usando a operação da API, você pode definir o Mutable parâmetro para cada um desses atributos true. Se seu IdP enviar um valor para um atributo imutável mapeado, o Amazon Cognito retornará um erro, e o login falhará.

  • Nas configurações do cliente de aplicativo para seu aplicativo, os atributos mapeados deve ser gravável. Você pode definir quais atributos são graváveis na página App clients (Clientes da aplicação) no console do Amazon Cognito. Ou, se você criar o aplicativo cliente usando a operação de API CreateUserPoolClient, você pode adicionar esses atributos à matriz WriteAttributes. Se o seu IdP enviar um valor para um atributo mapeado não gravável, o Amazon Cognito não definirá o valor do atributo e prosseguirá com a autenticação.

• Quando os atributos de IdP contêm vários valores, o Amazon Cognito nivela todos os valores em uma única string delimitada por vírgula, e um URL codifica o formato dos valores que apresentam caracteres não alfanuméricos (exceto “.”, “-”, “*” e “_”). Você deve decodificar e analisar os valores individuais antes de usá-los em sua aplicação.

Para especificar mapeamentos de atributos no momento da criação do provedor

• AWS CLI: aws cognito-idp create-identity-provider

  Exemplo com arquivo de metadados: aws cognito-idp create-identity-provider --user-pool-id <user_pool_id> --provider-name=SAML_provider_1 --provider-type SAML --provider-details file:///details.json --attribute-mapping email=http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress

  Onde details.json contém:

  { 
      "MetadataFile": "<SAML metadata XML>"
  }

  nota

  Se <SAML metadata XML> contiver cotações ("), elas deverão ser precedidas por (\").

  Exemplo com URL de metadados:

  aws cognito-idp create-identity-provider \
  --user-pool-id us-east-1_EXAMPLE \
  --provider-name=SAML_provider_1 \
  --provider-type SAML \
  --provider-details MetadataURL=https://myidp.example.com/saml/metadata \
  --attribute-mapping email=http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress

• API/SDK: CreateIdentityProvider

Para especificar mapeamentos de atributos para um IdP existente

• AWS CLI: aws cognito-idp update-identity-provider

  Example: aws cognito-idp update-identity-provider --user-pool-id <user_pool_id> --provider-name <provider_name> --attribute-mapping email=http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress

• API/SDK: UpdateIdentityProvider

Para obter informações sobre o mapeamento de atributos para determinado IdP

• AWS CLI: aws cognito-idp describe-identity-provider

  Example: aws cognito-idp describe-identity-provider --user-pool-id <user_pool_id> --provider-name <provider_name>

• API/SDK: DescribeIdentityProvider