General/Custom Requisitos de autorização para desenvolvedores de conectores

A autorização geral permite que seu conector use credenciais (como chaves de API, tokens ou username/password combinações) em vez de tokens de usuário do OAuth 2.0. Ao contrário do OAuth 2.0, que fornece autorização em nível de usuário por meio da vinculação de contas, a Autorização Geral permite que um único conjunto de credenciais controle dispositivos em vários usuários finais.

Esta seção explica como implementar o suporte à Autorização Geral em sua AWS Lambda função de conector. Se você for um cliente configurando a Autorização Geral para um conector existente, consulteGeneral/Custom Requisitos de autorização.

O que é autorização geral?

A autorização geral é qualquer mecanismo de autorização não OAuth que permite que seu conector autorize com plataformas de terceiros usando as credenciais do cliente. Com a autorização geral, as integrações gerenciadas delegam o gerenciamento de credenciais ao seu conector, e um único conjunto de credenciais pode controlar dispositivos em vários usuários finais.

Isso é útil para cenários em que você tem um relacionamento comercial com o fornecedor do dispositivo e precisa gerenciar dispositivos em grande escala sem fluxos de autorização de usuários individuais.

Quando usar a Autorização Geral

Considere implementar o suporte de autorização geral em seu conector quando:

Como a Autorização Geral usa AWS Secrets Manager

AWS Secrets Manager é um serviço de armazenamento secreto que protege credenciais confidenciais, como chaves de API e tokens. Os segredos são criptografados usando AWS Key Management Service chaves. Para obter mais informações, consulte o Guia do usuário do AWS Secrets Manager.

Para a Autorização Geral, os clientes armazenam as credenciais de autorização no Secrets Manager e concedem permissão ao conector C2C para acessar esses segredos. Quando as integrações gerenciadas invocam seu conector, elas fornecem o ARN e o ID da versão do Secrets Manager no cabeçalho da solicitação. Seu conector recupera o valor secreto e o usa para autorizar com a plataforma de terceiros.

Essa abordagem garante que as integrações gerenciadas nunca lidem diretamente com credenciais de longo prazo. Seu conector mantém controle total sobre o gerenciamento de credenciais e a geração de tokens, tornando a solução extensível a qualquer mecanismo de autorização suportado por sua plataforma terceirizada.

Formato de solicitação de autorização geral

Quando as integrações gerenciadas invocam seu conector para uma associação de conta de autorização geral, o cabeçalho da solicitação contém uma AWS Secrets Manager referência em vez de um token OAuth. A estrutura da solicitação é consistente em todas as operações do conector (AWS.ActivateUserAWS.DiscoverDevicesAWS.SendCommand,, eAWS.DeactivateUser).

{
  "header": {
    "auth": {
      "secretsManager": {
        "arn": "arn:aws:secretsmanager:us-east-1:123456789012:secret:my-api-key-AbCdEf",
        "versionId": "a1b2c3d4-5678-90ab-cdef-1234567890ab"
      },
      "type": "GeneralAuthorization"
    }
  },
  "payload": {
    "operationName": "AWS.DiscoverDevices",
    "operationVersion": "1.0",
    "connectorId": "Your-Connector-Id",
    ...
  }
}

{
  "header": {
    "auth": {
      "token": "ashriu32yr97feqy7afsaf",
      "type": "OAuth2.0"
    }
  },
  "payload": {
    "operationName": "AWS.DiscoverDevices",
    "operationVersion": "1.0",
    "connectorId": "Your-Connector-Id",
    ...
  }
}

Fluxo de trabalho de autorização geral

Quando seu conector receber uma solicitação de autorização geral, siga este fluxo de trabalho:

Permissões do Lambda para GeneralAuthorization

Sua função de execução do Lambda do conector deve ter permissão para recuperar segredos do cliente. AWS Secrets Manager Adicione as seguintes permissões à sua política de função de execução do Lambda:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "secretsmanager:GetSecretValue"
      ],
      "Resource": "arn:aws:secretsmanager:*:*:secret:*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "kms:Decrypt"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "kms:ViaService": "secretsmanager.*.amazonaws.com"
        }
      }
    }
  ]
}

Explicação da permissão

O cliente também concederá permissão ao Lambda para acessar seu segredo específico por meio da política de recursos do segredo.