View a markdown version of this page

Identitätsanbieter und Endpunkte der vertrauenden Partei - Amazon Cognito
OIDC-Emittent

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Identitätsanbieter und Endpunkte der vertrauenden Partei

Verbundendpunkte sind Benutzerpool-Endpunkte, die einem der von Benutzerpools verwendeten Authentifizierungsstandards dienen. Dazu gehören SAML-ACS-URLs, OIDC-Erkennungsendpunkte und Dienstendpunkte für Benutzerpools, die sowohl als Identitätsanbieter als auch als vertrauende Partei fungieren. Verbundendpunkte initiieren Authentifizierungsabläufe, erhalten Authentifizierungsnachweise von Clients und stellen Token an diese aus IdPs. Sie interagieren mit IdPs Anwendungen und Administratoren, aber nicht mit Benutzern.

Die ganzseitigen Themen nach dieser Seite enthalten Informationen zu den OAuth 2.0- und OIDC-Provider-Endpunkten, die verfügbar werden, wenn Sie Ihrem Benutzerpool eine Domain hinzufügen. Die folgende Tabelle enthält eine Liste aller Verbundendpunkte.

Beispiele für Benutzerpool-Domänen sind:

  1. Präfixdomäne: mydomain.auth.us-east-1.amazoncognito.com

  2. Benutzerdefinierte Domain: auth.example.com

Benutzerpool-Verbund-Endpunkte
Endpunkt-URL Description Zugriff darauf
https://Your user pool domain/oauth2/authorize Leitet einen Benutzer entweder zur verwalteten Anmeldung oder zur Anmeldung mit seinem IdP weiter. Wird im Kundenbrowser aufgerufen, um mit der Benutzerauthentifizierung zu beginnen. Siehe Autorisieren des Endpunkts.
https:///Your user pool domainoauth2/token Gibt Token auf der Grundlage eines Autorisierungscodes oder einer Anforderung von Kundenanmeldeinformationen zurück. Von der App angefordert, um Token abzurufen. Siehe Token-Endpunkt.
https://Your user pool domain/oauth2/userInfo Gibt Benutzerattribute auf der Grundlage von OAuth-2.0-Bereichen und der Benutzeridentität in einem Zugriffs-Token zurück. Von der App aufgefordert, das Benutzerprofil abzurufen. Siehe UserInfo-Endpunkt.
https://Your user pool domain/oauth2/revoke Widerruft ein Aktualisierungs-Token und die zugehörigen Zugriffs-Token. Von der App aufgefordert, ein Token zu widerrufen. Siehe Widerrufen des Endpunkts.
https://cognito-idp.Regionyour user pool ID.amazonaws.com/ /.well-configuration known/openid Ein Verzeichnis der OIDC-Architektur Ihres Benutzerpools. 1 Von der App angefordert, um Metadaten des Benutzerpool-Emittenten zu finden.
https://cognito-idp.Region.amazonaws.com/ your user pool ID /.well- .json known/jwks Öffentliche Schlüssel, mit denen Sie Amazon Cognito Cognito-Token validieren können. 2 Von der App angefordert, um JWTs zu verifizieren.
https:///Your user pool domainoauth2/idpresponse Social-Identitätsanbieter müssen Ihre Benutzer mit einem Autorisierungscode an diesen Endpunkt umleiten. Amazon Cognito löst den Code gegen ein Token ein, wenn es Ihren Verbundbenutzer authentifiziert. Weitergeleitet von der OIDC-IdP-Anmeldung als IdP-Client-Callback-URL.
https://Your user pool domain/saml2/idpresponse Die Assertion Consumer Response (ACS) -URL für die Integration mit SAML 2.0-Identitätsanbietern. Von SAML 2.0 IdP als ACS-URL oder Ausgangspunkt für die Anmeldung umgeleitet. IdP-initiated 3
https:///Your user pool domainsaml2/logout Die Single Logout (SLO) -URL für die Integration mit SAML 2.0-Identitätsanbietern. Umgeleitet von SAML 2.0 IdP als Single Logout (SLO) -URL. Akzeptiert nur POST-Bindung.

1 Das openid-configuration Dokument kann jederzeit mit zusätzlichen Informationen aktualisiert werden, damit der Endpunkt den OIDC- und OAuth2-Spezifikationen entspricht.

2 Die jwks.json JSON-Datei kann jederzeit mit neuen öffentlichen Token-Signaturschlüsseln aktualisiert werden.

3 Weitere Informationen zur IdP-initiated SAML-Anmeldung finden Sie unter. Implementieren Sie die IdP-initiated SAML-Anmeldung

Weitere Informationen zu den OpenID-Connect- und OAuth-Standards finden Sie unter OpenID Connect 1.0 und OAuth 2.0.

Amazon Cognito Cognito-Benutzerpools als OIDC-Emittent

Amazon Cognito Cognito-Benutzerpools fungieren als OpenID Connect (OIDC) -Identitätsanbieter und dienen als Aussteller, den Anwendungsbibliotheken für den OIDC-Verbund verwenden können. Anwendungsbibliotheken für den OIDC-Verbund können auf die beiden verschiedenen Pfade verweisen, wie unten beschrieben, als Autodiscovery-Endpunkt. Dieser Endpunkt bietet Zugriff auf das JSON Web Key Set (JWKS) /.well-known/jwks.json und die OIDC-Discovery-Metadaten unter/.well-known/openid-configuration, wo Anwendungen die Autorisierungs-, Token- und UserInfo-Endpunkte ermitteln können.

Anwendungen, die OIDC-Autodiscovery unterstützen, können sich automatisch selbst konfigurieren, indem sie diese bekannten Endpunkte abfragen. Für Anwendungen, die Autodiscovery nicht unterstützen, können Sie Ihre Anwendung mit den spezifischen OIDC-Endpunkten, die im vorherigen Abschnitt aufgeführt sind, hartcodieren.

Typen von Benutzerpools und Emittenten
Originalaussteller

Die aktuelle Standardaussteller-Konfiguration für Benutzerpools. Die Aussteller-URL wird in der Region des Benutzerpools gehostet und bietet OIDC-Endpunkte, die für diese Region spezifisch sind.

Die ursprünglichen Emittenten verwenden das Format. https://cognito-idp.us-east-1.amazonaws.com/us-east-1_EXAMPLE

Aktualisierter Aussteller

Für alle Benutzerpools empfohlen, einschließlich der Replikation über mehrere Regionen hinweg. Aktualisierte Aussteller hosten dieselben JWKS-Inhalte in mehreren Regionen, was zu einer verbesserten Resilienz und Effizienz führt.

Aktualisierte Emittenten verwenden das Formathttps://issuer-cognito-idp.us-east-1.amazonaws.com/us-east-1_EXAMPLE, in dem Region sich das primäre Format AWS-Region Ihres Benutzerpools befindet.

Anmerkung

Der aktualisierte Ausstellertyp ist nicht mit der nativen Amazon Cognito Cognito-Integration für die Application Load Balancer Balancer-Authentifizierung (die authenticate-cognito Aktion) kompatibel. Um einen aktualisierten Aussteller mit einem Application Load Balancer zu verwenden, konfigurieren Sie stattdessen die generische OIDC-Integration (die authenticate-oidc Aktion) und geben Sie die OIDC-Endpunkte Ihres Benutzerpools an. Weitere Informationen finden Sie unter Authentifizieren von Benutzern mithilfe eines Application Load Balancer.

Bereiten Sie sich auf Änderungen am Discovery-Dokument vor

Das openid-configuration Dokument ist ein standardmäßiges OpenID Connect-Discovery-Dokument. Amazon Cognito kann im Laufe der Zeit Metadateneinträge hinzufügen, um die Konformität mit den OpenID Connect- und OAuth 2.0-Spezifikationen zu gewährleisten und die Kompatibilität mit OIDC-Clientbibliotheken zu verbessern. Diese Ergänzungen sind abwärtskompatibel: Amazon Cognito fügt neue Mitglieder hinzu, benennt aber die Mitglieder, die Ihre Anwendung bereits liest, nicht um, ändert den Typ oder entfernt sie nicht. Schreiben Sie Ihrem Kunden so, dass er auch dann funktioniert, wenn das Dokument wächst.

Ignoriere Mitglieder, die du nicht kennst

Wie es die OpenID Connect Discovery-Spezifikation verlangt, behandeln Sie Metadatenmitglieder, die Sie nicht verstehen, als optional. Wenn das Dokument ein Element enthält, das Ihre Anwendung nicht verwendet, lehnen Sie es nicht ab, schlagen Sie nicht fehl und geben Sie keinen Fehler aus.

Kodieren Sie die Gruppe oder Reihenfolge der Elemente nicht fest

Analysieren Sie das Dokument als allgemeines JSON-Objekt und nicht als feste Struktur. Die Mitglieder können in beliebiger Reihenfolge angezeigt werden, und die Gruppe der Mitglieder kann sich zwischen Anfragen und im Laufe der Zeit ändern. Adressieren Sie jedes Mitglied mit Namen und lesen Sie jedes Mitglied als den Typ, den die Spezifikation für jedes Mitglied definiert.

Testen Sie strenge Clients anhand des aktuellen Dokuments

Wenn Ihr Client das Discovery-Dokument strikt validiert, rufen Sie das aktuelle Dokument vom /.well-known/openid-configuration Endpunkt Ihres Benutzerpools ab und vergewissern Sie sich, dass Ihr Kunde es akzeptiert, bevor Sie von einer bestimmten Gruppe von Mitgliedern abhängig sind.

Amazon Cognito Cognito-Token folgen demselben additiven, zukunftskompatiblen Ansatz. Weitere Informationen zum Analysieren der Ansprüche in einer ID oder einem Zugriffstoken finden Sie unter. Analysieren Sie Benutzerpool-Token sicher

Themen