設定受信任權杖發行者

1. 將受信任權杖發行者新增至 IAM Identity Center – IAM Identity Center 管理員會使用 IAM Identity Center 主控台或 來新增受信任權杖發行者APIs。此組態需要指定下列項目：

   • 受信任權杖發行者的名稱。

   • 探索OIDC端點 URL（在 IAM Identity Center 主控台中，URL這稱為發行者 URL）。探索端點只能透過連接埠 80 和 443 存取。

   • 用於使用者查詢的屬性映射。此屬性映射用於由受信任權杖發行者產生的權杖中的宣告。宣告中的值用於搜尋 IAM Identity Center。搜尋使用指定的屬性來擷取 IAM Identity Center 中的單一使用者。

2. 將 AWS 服務連接至 IAM Identity Center – AWS 服務管理員必須使用應用程式或應用程式的 主控台，將應用程式連線至 IAM Identity CenterAPIs。

   將受信任權杖發行者新增至 IAM Identity Center 主控台後，它也會在 AWS 服務主控台中顯示，可供 AWS 服務管理員選取。

3. 設定權杖交換的使用 – 在 AWS 服務主控台中， AWS 服務管理員會設定 AWS 服務以接受受信任權杖發行者發行的權杖。這些權杖會交換為 IAM Identity Center 產生的權杖。這需要從步驟 1 指定受信任權杖發行者的名稱，以及對應至 AWS 服務的 Aud 宣告值。

   信任的權杖發行者會將 Aud 宣告值放置在其發行的權杖中，以指示權杖僅供 AWS 服務使用。若要取得此值，請聯絡信任權杖發行者的管理員。

若要將受信任的權杖發行者新增至 IAM Identity Center 主控台

1. 開啟 IAM Identity Center 主控台 。

2. 選擇設定。

3. 在設定頁面上，選擇身分驗證索引標籤。

4. 在受信任權杖發行者 下，選擇建立受信任權杖發行者 。

5. 在設定外部 IdP 以發出受信任權杖頁面上，在受信任權杖發行者詳細資訊 下，執行下列動作：

   • 對於發行者 URL，指定外部 IdP URL的OIDC探索，其將發行用於受信任身分傳播的權杖。您必須指定探索端點URL的 ，直到 且不含 .well-known/openid-configuration為止。外部 IdP 的管理員可以提供此 URL。

     注意

     請注意，這URL必須與發行者 （iss） 宣告URL中針對受信任身分傳播發行的權杖中的 相符。

   • 對於受信任權杖發行者名稱 ，在 IAM Identity Center 和應用程式主控台中輸入名稱以識別此受信任權杖發行者。

6. 在映射屬性 下，執行下列動作：

   • 對於 Identity Provider 屬性 ，從清單中選擇屬性，以映射到 IAM Identity Center 身分存放區中的屬性。

   • 針對 IAM Identity Center 屬性 ，選取屬性對應的屬性。

7. 在標籤 （選用） 下，選擇新增標籤 ，為金鑰 指定值，並為值 指定選用值 。

   如需標籤的相關資訊，請參閱標記 AWS IAM Identity Center resources。

8. 選擇建立受信任權杖發行者 。

9. 建立受信任權杖發行者之後，請聯絡應用程式管理員，讓他們知道受信任權杖發行者的名稱，以便他們可以確認受信任權杖發行者顯示在適用的主控台中。

10. 應用程式管理員必須在適用的主控台中選取此受信任權杖發行者，以讓使用者從設定為受信任身分傳播的應用程式存取應用程式。

若要在 IAM Identity Center 主控台中檢視或編輯受信任權杖發行者設定

1. 開啟 IAM Identity Center 主控台 。

2. 選擇設定。

3. 在設定頁面上，選擇身分驗證索引標籤。

4. 在受信任權杖發行者 下，選取您要檢視或編輯的受信任權杖發行者。

5. 選擇動作，然後選擇編輯。

6. 在編輯受信任權杖發行者頁面上，視需要檢視或編輯設定。您可以編輯信任的權杖發行者名稱、屬性映射和標籤。

7. 選擇 Save changes (儲存變更)。

8. 在編輯受信任權杖發行者對話方塊中，系統會提示您確認是否要進行變更。選擇確認。