Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Single-Sign-On-Zugriff auf SAML 2.0- und OAuth 2.0-Anwendungen

Mit IAM Identity Center können Sie Ihren Benutzern Single-Sign-On-Zugriff auf SAML 2.0- oder OAuth 2.0-Anwendungen gewähren. Die folgenden Themen bieten einen allgemeinen Überblick über SAML 2.0 und OAuth 2.0.

SAML 2.0

SAML 2.0 ist ein Industriestandard, der für den sicheren Austausch von SAML-Assertionen verwendet wird, die Informationen über einen Benutzer zwischen einer SAML-Behörde (als Identitätsanbieter oder IdP bezeichnet) und einem SAML 2.0-Verbraucher (Service Provider oder SP genannt) weitergeben. IAM Identity Center verwendet diese Informationen, um Benutzern, die zur Verwendung von Anwendungen im Zugriffsportal autorisiert sind, den Verbundzugriff über Single Sign-On bereitzustellen. AWS

OAuth 2.0

OAuth 2.0 ist ein Protokoll, mit dem Anwendungen sicher auf Benutzerdaten zugreifen und diese gemeinsam nutzen können, ohne Passwörter weitergeben zu müssen. Diese Funktion bietet Benutzern eine sichere und standardisierte Möglichkeit, Anwendungen den Zugriff auf ihre Ressourcen zu ermöglichen. Der Zugriff wird durch verschiedene OAuth 2.0-Zuschüsse erleichtert.

Mit IAM Identity Center können Anwendungen, die auf öffentlichen Clients ausgeführt werden, temporäre Anmeldeinformationen für den Zugriff AWS-Konten und die Dienste programmgesteuert im Namen ihrer Benutzer abrufen. Öffentliche Clients sind in der Regel Desktops, Laptops oder andere mobile Geräte, die zur lokalen Ausführung von Anwendungen verwendet werden. Beispiele für AWS Anwendungen, die auf öffentlichen Clients ausgeführt werden AWS Toolkit, sind die AWS Command Line Interface (AWS CLI) und die AWS Software Development Kits (SDKs). Damit diese Anwendungen Anmeldeinformationen abrufen können, unterstützt IAM Identity Center Teile der folgenden OAuth 2.0-Flows:

OpenID Connect (OIDC) ist ein Authentifizierungsprotokoll, das auf dem OAuth 2.0 Framework basiert. OIDC spezifiziert, wie OAuth 2.0 für die Authentifizierung verwendet wird. Über die OIDC-Dienst-APIs von IAM Identity Center registriert eine Anwendung einen OAuth 2.0-Client und verwendet einen dieser Flows, um ein Zugriffstoken abzurufen, das Berechtigungen für durch IAM Identity Center geschützte APIs gewährt. Eine Anwendung legt Zugriffsbereiche fest, um den vorgesehenen API-Benutzer zu deklarieren. Nachdem Sie als IAM Identity Center-Administrator Ihre Identitätsquelle konfiguriert haben, müssen die Endbenutzer Ihrer Anwendung einen Anmeldevorgang abschließen, sofern sie dies nicht bereits getan haben. Ihre Endbenutzer müssen dann ihre Zustimmung geben, damit die Anwendung API-Aufrufe tätigen kann. Diese API-Aufrufe werden mithilfe der Benutzerberechtigungen getätigt. Als Antwort gibt IAM Identity Center ein Zugriffstoken an die Anwendung zurück, das die Zugriffsbereiche enthält, denen die Benutzer zugestimmt haben.

Mithilfe eines OAuth 2.0-Grant-Flows

OAuth 2.0-Grant-Flows sind nur über AWS verwaltete Anwendungen verfügbar, die die Flows unterstützen. Um einen OAuth 2.0-Flow verwenden zu können, müssen Ihre IAM Identity Center-Instanz und alle unterstützten AWS verwalteten Anwendungen, die Sie verwenden, in einer einzigen Instanz bereitgestellt werden. AWS-Region Informationen zur regionalen Verfügbarkeit der AWS verwalteten Anwendungen und der IAM Identity Center-Instanz, die Sie verwenden möchten, finden Sie in der jeweiligen AWS-Service Dokumentation.

Um eine Anwendung zu verwenden, die einen OAuth 2.0-Flow verwendet, muss der Endbenutzer die URL eingeben, über die die Anwendung eine Verbindung herstellt, und sich bei Ihrer IAM Identity Center-Instanz registrieren. Je nach Anwendung müssen Sie als Administrator Ihren Benutzern die AWS Zugriffsportal-URL oder die Aussteller-URL Ihrer IAM Identity Center-Instanz zur Verfügung stellen. Sie finden diese beiden Einstellungen auf der Einstellungsseite der IAM Identity Center-Konsole . Weitere Informationen zur Konfiguration einer Client-Anwendung finden Sie in der Dokumentation zu dieser Anwendung.

Wie der Endbenutzer sich bei einer Anwendung anmeldet und seine Zustimmung erteilt, hängt davon ab, ob die Anwendung Erteilung des Autorisierungscodes mit PKCE oder verwendetAutorisierung des Geräts.

Erteilung des Autorisierungscodes mit PKCE

Dieser Ablauf wird von Anwendungen verwendet, die auf einem Gerät ausgeführt werden, das über einen Browser verfügt.

Autorisierung des Geräts

Dieser Ablauf kann von Anwendungen verwendet werden, die auf einem Gerät mit oder ohne Browser ausgeführt werden. Wenn die Anwendung den Flow initiiert, präsentiert die Anwendung eine URL und einen Benutzercode, die der Benutzer später im Flow überprüfen muss. Der Benutzercode ist erforderlich, da die Anwendung, die den Flow initiiert, möglicherweise auf einem anderen Gerät ausgeführt wird als dem Gerät, auf dem der Benutzer seine Zustimmung erteilt. Der Code stellt sicher, dass der Benutzer dem Flow zustimmt, den er auf dem anderen Gerät initiiert hat.

Zugriffsbereiche

Ein Bereich definiert den Zugriff für einen Dienst, auf den über einen OAuth 2.0-Flow zugegriffen werden kann. Bereiche sind eine Möglichkeit für den Dienst, der auch als Ressourcenserver bezeichnet wird, Berechtigungen zu gruppieren, die sich auf Aktionen und die Dienstressourcen beziehen, und sie spezifizieren die groben Operationen, die OAuth 2.0-Clients anfordern können. Wenn sich ein OAuth 2.0-Client beim IAM Identity Center OIDC-Dienst registriert, gibt der Client die Bereiche an, um die beabsichtigten Aktionen zu deklarieren, für die der Benutzer seine Zustimmung geben muss.

OAuth 2.0-Clients verwenden scope Werte, wie sie in Abschnitt 3.3 von OAuth 2.0 (RFC 6749) definiert sind, um anzugeben, welche Berechtigungen für ein Zugriffstoken angefordert werden. Clients können maximal 25 Bereiche angeben, wenn sie ein Zugriffstoken anfordern. Wenn ein Benutzer während des Ablaufs „Autorisierungscode mit PKCE“ oder „Geräteautorisierung“ seine Zustimmung erteilt, kodiert IAM Identity Center die Bereiche in das zurückgegebene Zugriffstoken.

AWS fügt IAM Identity Center Bereiche für unterstützte Bereiche hinzu. AWS-Services In der folgenden Tabelle sind die Bereiche aufgeführt, die der OIDC-Dienst von IAM Identity Center unterstützt, wenn Sie einen öffentlichen Client registrieren.

Zugriffsbereiche, die vom IAM Identity Center OIDC-Dienst bei der Registrierung eines öffentlichen Clients unterstützt werden