Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
Fédération OIDC
Imaginez que vous créez une application qui accède à des AWS ressources, comme GitHub Actions, qui utilise des flux de travail pour accéder à Amazon S3 et DynamoDB.
Lorsque vous utilisez ces flux de travail, vous envoyez des demandes aux AWS services qui doivent être signées à l'aide d'une clé d' AWS accès. Cependant, nous vous recommandons vivement de ne pas stocker les AWS informations d'identification à long terme dans des applications extérieures AWS. Configurez plutôt vos applications pour demander des informations d'identification de AWS sécurité temporaires de manière dynamique en cas de besoin à l'aide de la fédération OIDC. Les informations d'identification temporaires fournies correspondent à un AWS rôle qui dispose uniquement des autorisations nécessaires pour effectuer les tâches requises par l'application.
Lors de l’utilisation de la fédération OIDC, il n’est pas nécessaire de créer de code de connexion personnalisé ni de gérer vos propres identités utilisateur. Au lieu de cela, vous pouvez utiliser OIDC dans des applications, telles que GitHub Actions ou tout autre IdP compatible avec OpenID Connect (
La fédération OIDC prend en charge à la fois machine-to-machine l'authentification (comme les CI/CD pipelines, les scripts automatisés et les applications sans serveur) et l'authentification des utilisateurs humains. Pour les scénarios d'authentification d'utilisateurs humains dans lesquels vous devez gérer l'inscription, la connexion et les profils utilisateur, envisagez d'utiliser Amazon Cognito
Note
Les jetons Web JSON (JWTs) émis par les fournisseurs d'identité OpenID Connect (OIDC) contiennent une date d'expiration dans la exp réclamation qui indique la date d'expiration du jeton. IAM fournit une fenêtre de cinq minutes au-delà du délai d’expiration spécifié dans le JWT pour tenir compte du décalage d’horloge, comme le permet la norme OpenID Connect (OIDC) Core 1.0
Rubriques
Ressources supplémentaires pour la fédération OIDC
Les ressources suivantes peuvent vous aider à en savoir plus sur la fédération OIDC :
-
Utilisez OpenID Connect dans vos GitHub flux de travail en configurant OpenID Connect
dans Amazon Web Services -
Amazon Cognito Identity
dans le Guide Amplify Libraries for Android et Amazon Cognito Identity dans le Guide Amplify Libraries for Swift. -
Comment utiliser un identifiant externe lors de l'octroi de l'accès à vos AWS ressources
. Le blog sur la AWS sécurité fournit des conseils sur la configuration sécurisée de l'accès entre comptes et de la fédération d'identité externe.
