Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Crea un endpoint VPC per AWS STS Discovery OIDC

Servizio di token di sicurezza AWS (AWS STS) Il rilevamento OIDC è costituito da una coppia di endpoint pubblici che forniscono i metadati e le chiavi di verifica necessarie alle parti interessate per convalidare i JSON Web Token (JWT) emessi dalla federazione delle identità in uscita. Federando AWS Identità verso servizi esterni

Quando abiliti la federazione delle identità in uscita, pubblica un URL dell'emittente specifico dell'account. AWS STS Questo URL ospita due endpoint di rilevamento OpenID Connect (OIDC). I relying party recuperano questi endpoint per ottenere i metadati e le chiavi pubbliche di cui hanno bisogno per verificare i JWT che emettono: GetWebIdentityToken

Per impostazione predefinita, per raggiungere questi endpoint dal tuo VPC sono necessari un gateway Internet, un dispositivo NAT, una connessione VPN o una connessione. Per mantenere invece questo traffico sulla AWS rete, create un endpoint VPC di interfaccia per l'endpoint di rilevamento STS OIDC.

Scelta del servizio endpoint giusto

La federazione delle identità in uscita utilizza due percorsi di rete distinti. La maggior parte dei carichi di lavoro che emettono e verificano token richiedono entrambi i servizi endpoint.

Non è necessario l'endpoint di rilevamento STS OIDC se l'unica parte che verifica i token è un servizio esterno. AWS Tale servizio recupera l'URL dell'emittente sulla rete Internet pubblica e il relativo traffico non entra nel tuo VPC.

Considerazioni

Considerate quanto segue prima di creare un endpoint VPC di interfaccia per il rilevamento STS OIDC.

Creazione di un endpoint VPC di interfaccia per il rilevamento STS OIDC

Puoi creare un endpoint VPC per l'endpoint di rilevamento STS OIDC utilizzando la console Amazon Virtual Private Cloud o il. AWS Command Line Interface Per ulteriori informazioni, consulta Accedere a un AWS servizio utilizzando un endpoint VPC di interfaccia nella Amazon VPC User Guide.

Crea un endpoint VPC per il rilevamento STS OIDC utilizzando il seguente nome di servizio:

Se abiliti il DNS privato per l'endpoint, puoi inviare richieste sts-oidc.region.amazonaws.com e queste verranno risolte alle interfacce di rete dell'endpoint all'interno del tuo VPC.

Invio di richieste tramite l'endpoint

Quando un relying party nel tuo VPC deve verificare un JWT, recupera il documento di scoperta OIDC e i JWKS dall'URL dell'emittente. Il nome host dell'emittente (ad esempio,uuid.tokens.sts.global.api.aws) utilizza un dominio diverso da quello dell'endpoint (), quindi per impostazione predefinita non si risolve nell'endpoint sts-oidc.region.amazonaws.com VPC.

Per indirizzare le richieste per il nome host dell'emittente attraverso l'endpoint, crea una zona ospitata privata di Amazon Route 53 per il nome host dell'emittente e aggiungi un record alias che punti all'endpoint VPC. Dopo aver creato la zona ospitata, le risorse nel VPC risolvono il nome host dell'emittente nelle interfacce di rete dell'endpoint. Le librerie OIDC standard possono quindi recuperare i documenti di rilevamento senza modifiche al codice. Per ulteriori informazioni sulla creazione di una zona ospitata privata, consulta la sezione relativa all'utilizzo di zone ospitate private nella Guida per gli sviluppatori di Amazon Route 53.