Federasi OIDC - AWS Identity and Access Management
Sumber daya tambahan untuk federasi OIDC

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Federasi OIDC

Bayangkan Anda membuat aplikasi yang mengakses AWS sumber daya, seperti GitHub Tindakan yang menggunakan alur kerja untuk mengakses Amazon S3 dan DynamoDB.

Saat Anda menggunakan alur kerja ini, Anda membuat permintaan ke AWS layanan yang harus ditandatangani dengan kunci AWS akses. Namun, kami sangat menyarankan agar Anda tidak menyimpan AWS kredensi jangka panjang dalam aplikasi di luar. AWSSebagai gantinya, konfigurasikan aplikasi Anda untuk meminta kredensi AWS keamanan sementara secara dinamis saat diperlukan menggunakan federasi OIDC. Kredensi sementara yang disediakan memetakan ke AWS peran yang hanya memiliki izin yang diperlukan untuk melakukan tugas yang diperlukan oleh aplikasi.

Dengan federasi OIDC, Anda tidak perlu membuat kode masuk khusus atau mengelola identitas pengguna Anda sendiri. Sebagai gantinya, Anda dapat menggunakan OIDC dalam aplikasi, seperti GitHub Actions atau IdP yang kompatibel dengan OpenID Connect (OIDC) lainnya, untuk mengautentikasi. AWS Mereka menerima token otentikasi, yang dikenal sebagai JSON Web Token (JWT), dan kemudian menukar token itu untuk kredensi keamanan sementara di peta AWS itu ke peran IAM dengan izin untuk menggunakan sumber daya tertentu di Anda. Akun AWS Menggunakan IDP membantu Anda menjaga Akun AWS keamanan karena Anda tidak perlu menanamkan dan mendistribusikan kredensi keamanan jangka panjang dengan aplikasi Anda.

Federasi OIDC mendukung machine-to-machine otentikasi (seperti CI/CD saluran pipa, skrip otomatis, dan aplikasi tanpa server) dan otentikasi pengguna manusia. Untuk skenario otentikasi pengguna manusia di mana Anda perlu mengelola pendaftaran pengguna, masuk, dan profil pengguna, pertimbangkan untuk menggunakan Amazon Cognito sebagai pialang identitas. Untuk detail tentang penggunaan Amazon Cognito dengan OIDC, lihat. Amazon Cognito untuk aplikasi seluler

catatan

JSON Web Tokens (JWTs) yang dikeluarkan oleh penyedia identitas OpenID Connect (OIDC) berisi waktu kedaluwarsa dalam klaim yang menentukan kapan token exp kedaluwarsa. IAM menyediakan jendela lima menit di luar waktu kedaluwarsa yang ditentukan dalam JWT untuk memperhitungkan kemiringan jam, seperti yang diizinkan oleh standar OpenID Connect (OIDC) Core 1.0. Ini berarti OIDC JWTs diterima oleh IAM setelah waktu kedaluwarsa tetapi dalam jendela lima menit ini diterima untuk evaluasi dan pemrosesan lebih lanjut.

Topik

Sumber daya tambahan untuk federasi OIDC

Sumber daya berikut dapat membantu Anda mempelajari lebih lanjut tentang federasi OIDC: