為 OpenID Connect 聯合身分建立角色 (主控台)

使用一或多個提供聯合 OIDC 身分的服務進行註冊。如果您建立的應用程式需要存取您的 AWS 資源，您還需要在應用程式設定提供者資訊。當您這麼做時，提供者會將應用程式唯一的 ID 提供給您的應用程式或對象。(不同的提供者可能使用不同的術語來表達此程序。本指南則使用術語設定來表示向提供者識別您應用程式的程序)。您可以在每個提供者設定多個應用程式，或在單一應用程式設定多個提供者。檢視有關使用身分提供者的相關資訊，如下所示：

從 IdP 收到必要資訊後，請在 IAM 中建立 IdP。如需詳細資訊，請參閱在 IAM 中建立 OpenID Connect (OIDC) 身分提供者。

為已進行 IdP 身分驗證的使用者要擔任的角色準備政策。正如任何角色一樣，手機應用程式的角色含有兩項政策。其中一項是信任政策，其指定擔任該角色的對象。另一項政策是許可政策，其指定行動應用程式被允許或拒絕存取的 AWS 動作和資源。

對於 Web 身分提供者，我們建議您使用 Amazon Cognito 來管理身分。在這種情況下，請使用類似於這個範例的信任政策。

{
    "Version": "2012-10-17",
    "Statement": {
        "Effect": "Allow",
        "Principal": {"Federated": "cognito-identity.amazonaws.com"},
        "Action": "sts:AssumeRoleWithWebIdentity",
        "Condition": {
            "StringEquals": {"cognito-identity.amazonaws.com:aud": "us-east-2:12345678-abcd-abcd-abcd-123456"},
            "ForAnyValue:StringLike": {"cognito-identity.amazonaws.com:amr": "unauthenticated"}
        }
    }
}

以 Amazon Cognito 指派給您的身分集區 ID 取代 us-east-2:12345678-abcd-abcd-abcd-123456。

如果您手動設定 OIDC IdP，當您建立信任政策，您必須使用三個值，以確保只有您的應用程式可擔任該角色：

如果使用者使用行動應用程式從 Login with Amazon 登入，則以下範例信任政策適用。在範例中，amzn1.application-oa2-123456 代表使用 Login with Amazon 設定應用程式時 Amazon 指派的應用程式 ID。

{
      "Version": "2012-10-17",
      "Statement": [{
          "Sid": "RoleForLoginWithAmazon",
          "Effect": "Allow",
          "Principal": {"Federated": "www.amazon.com"},
          "Action": "sts:AssumeRoleWithWebIdentity",
          "Condition": {"StringEquals": {"www.amazon.com:app_id": "amzn1.application-oa2-123456"}}
      }]
  }
        

如果使用者使用行動應用程式從 Facebook 登入，則以下範例信任政策適用。在本範例中，111222333444555 代表 Facebook 指派的應用程式 ID。

{
      "Version": "2012-10-17",
      "Statement": [{
          "Sid": "RoleForFacebook",
          "Effect": "Allow",
          "Principal": {"Federated": "graph.facebook.com"},
          "Action": "sts:AssumeRoleWithWebIdentity",
          "Condition": {"StringEquals": {"graph.facebook.com:app_id": "111222333444555"}}
      }]
  }
        

如果使用者使用行動應用程式從 Google 登入，則以下範例信任政策適用。在本範例中，666777888999000 代表由 Google 指派的應用程式 ID。

{
      "Version": "2012-10-17",
      "Statement": [{
          "Sid": "RoleForGoogle",
          "Effect": "Allow",
          "Principal": {"Federated": "accounts.google.com"},
          "Action": "sts:AssumeRoleWithWebIdentity",
          "Condition": {"StringEquals": {"accounts.google.com:aud": "666777888999000"}}
      }]
  }
        

如果使用者使用行動應用程式從 Amazon Cognito 登入，則以下範例信任政策適用。在此範例中，us-east:12345678-ffff-ffff-ffff-123456 代表 Amazon Cognito 指派的身分集區 ID。

{
      "Version": "2012-10-17",
      "Statement": [{
          "Sid": "RoleForCognito",
          "Effect": "Allow",
          "Principal": {"Federated": "cognito-identity.amazonaws.com"},
          "Action": "sts:AssumeRoleWithWebIdentity",
          "Condition": {"StringEquals": {"cognito-identity.amazonaws.com:aud": "us-east:12345678-ffff-ffff-ffff-123456"}}
      }]
  }
        

簽署 AWS Management Console，並開啟位於 https://console.aws.amazon.com/iam/ 的 IAM 主控台。

在導覽窗格中，選擇 Roles (角色)，然後選擇 Create role (建立角色)。

選擇 Web 身分作為信任的實體類型，然後選取下一步。

針對 Identity provider (身分提供者)，選擇您角色的身分提供者：

輸入您的應用程式的識別碼。識別碼的標籤會因所選擇的提供者而改變：

(選用) 針對條件 (選用)，選擇新增條件，以建立應用程式使用者在能夠使用角色所授予的許可之前所必須滿足的其他條件。例如，您可以新增一個條件，僅授予特定 IAM 使用者 ID 存取 AWS 資源。您也可以在建立角色之後，將條件新增至信任政策。如需詳細資訊，請參閱更新角色信任政策 。

檢閱您的 OIDC 資訊，然後選擇下一步。

IAM 包含您帳戶中的 AWS 受管和客戶管理政策清單。選取用於許可政策的政策，或者選擇 Create policy (建立政策) 以開啟新的瀏覽器標籤，並從頭建立新的政策。如需詳細資訊，請參閱建立 IAM 政策。在您建立政策後，關閉該標籤並返回您的原始標籤。選取您希望 OIDC 使用者具有的許可政策旁的核取方塊。如果您希望，您目前可以不選取政策，稍後再將政策連接到角色。角色預設沒有任何許可。

(選用) 設定許可界限。這是進階功能。

開啟 Permissions boundary (許可界限) 區段，並選擇 Use a permissions boundary to control the maximum role permissions (使用許可界限來控制角色許可上限)。選取用於許可界限的政策。

選擇 Next (下一步)。

在 Role name (角色名稱) 中，輸入角色名稱。角色名稱在您的 AWS 帳戶 內必須是獨一無二的。它們不區分大小寫。例如，您無法建立名為 PRODROLE 和 prodrole 的角色。因為有其他 AWS 資源可能會參照角色，所以您無法在建立角色之後編輯角色名稱。

(選用) 在 Description (說明) 中，輸入新角色的說明。

如要編輯使用案例和角色許可，請在 Step 1: Select trusted entities (步驟 1：選取受信任的實體) 或者 Step 2: Add permissions (步驟 2：新增許可) 區段中選擇 Edit (編輯)。

(選用) 若要將中繼資料新增至角色，請附加標籤做為鍵/值對。如需有關在 IAM 中使用標籤的詳細資訊，請參閱 AWS Identity and Access Management 資源的標籤。

檢閱角色，然後選擇 Create role (建立角色)。