Controlli del provider di identità per provider OIDC condivisi

Per i provider di identità OpenID Connect (OIDC) condivisi riconosciuti, IAM richiede una valutazione esplicita di affermazioni specifiche nelle policy di trust dei ruoli. IdPs Queste attestazioni obbligatorie, chiamate controlli del provider di identità, vengono valutate da IAM durante la creazione dei ruoli e gli aggiornamenti delle policy di fiducia. Se la policy di trust dei ruoli non valuta i controlli richiesti dall'IdP OIDC condiviso, la creazione o l'aggiornamento del ruolo non riusciranno. Ciò garantisce che solo le identità autorizzate dell'organizzazione prevista possano assumere ruoli e accedere alle risorse. AWS Questo controllo di sicurezza è fondamentale quando i provider OIDC sono condivisi tra più clienti. AWS

I controlli dei provider di identità non verranno valutati da IAM per le politiche di trust dei ruoli OIDC esistenti. Per qualsiasi modifica alla policy di trust dei ruoli per i ruoli OIDC esistenti, IAM richiederà che i controlli relativi ai provider di identità siano inclusi nella policy di trust dei ruoli.

Tipi di provider OIDC

IAM classifica i provider di identità OIDC in due tipi distinti: privati e condivisi. Un IdP OIDC privato può essere di proprietà e gestito da una singola organizzazione o può essere un tenant di un provider SaaS, con l'URL dell'emittente OIDC che funge da identificatore univoco specifico per tale organizzazione. Al contrario, un IdP OIDC condiviso viene utilizzato in più organizzazioni, dove l'URL dell'emittente OIDC potrebbe essere identico per tutte le organizzazioni che utilizzano quel provider di identità condiviso.

La tabella seguente illustra le principali differenze tra i provider OIDC privati e condivisi:

Provider di identità OIDC condivisi con controlli dei provider di identità

Quando crei o modifichi un provider OIDC in IAM, il sistema identifica e valuta automaticamente le attestazioni richieste per i provider OIDC condivisi riconosciuti. Se i controlli del provider di identità non sono configurati nella policy di fiducia dei ruoli, la creazione o l'aggiornamento del ruolo avrà esito negativo e verrà generato un errore. MalformedPolicyDocument

La tabella seguente elenca i provider OIDC condivisi che richiedono i controlli del provider di identità nelle politiche di attendibilità dei ruoli e informazioni aggiuntive per aiutarti a configurare i controlli del provider di identità.

* IBM Turbonomic aggiorna periodicamente l'URL dell'emittente OIDC con nuove versioni della piattaforma. Se necessario, aggiungeremo altri emittenti Turbonomic OIDC come fornitore condiviso.

Per ogni nuovo OIDC IdPs che IAM identifica come condiviso, i controlli richiesti dai provider di identità per le politiche di fiducia dei ruoli saranno documentati e applicati in modo analogo.

Risorse aggiuntive

Risorse aggiuntive: