View a markdown version of this page

Endpoint del provider di identità e del relying party - Amazon Cognito
Emittente OIDC

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Endpoint del provider di identità e del relying party

Gli endpoint federativi sono endpoint del pool di utenti che servono a uno degli standard di autenticazione utilizzati dai pool di utenti. Includono URL SAML ACS, endpoint di rilevamento OIDC ed endpoint di servizio per i ruoli del pool di utenti sia come provider di identità che come relying party. Gli endpoint federativi avviano i flussi di autenticazione, ricevono la prova dell'autenticazione dai client ed emettono token ai clienti. IdPs Interagiscono con IdPs le applicazioni e gli amministratori, ma non con gli utenti.

Gli argomenti a pagina intera che seguono questa pagina contengono dettagli sugli endpoint dei provider OAuth 2.0 e OIDC che diventano disponibili quando si aggiunge un dominio al pool di utenti. La tabella seguente è un elenco di tutti gli endpoint della federazione.

Esempi di domini di pool di utenti sono:

  1. Dominio con prefisso: mydomain.auth.us-east-1.amazoncognito.com

  2. Dominio personalizzato: auth.example.com

Endpoint di federazione del pool di utenti
URL dell’endpoint Description Modalità di accesso
https://Your user pool domain/oauth2/authorize Reindirizza un utente all'accesso gestito o all'accesso con il proprio IdP. Richiamato nel browser del cliente per iniziare l'autenticazione dell'utente. Consulta Endpoint Authorize.
https:///Your user pool domainoauth2/token Restituisce i token in base a un codice di autorizzazione o richiesta di credenziali del client. Richiesto dall'app per recuperare i token. Consulta Endpoint Token.
https:///Your user pool domainoauth2/userInfo Restituisce gli attributi utente in base agli ambiti OAuth 2.0 e all'identità utente in un token di accesso. Richiesto dall'app per recuperare il profilo utente. Consulta Endpoint UserInfo.
https:///Your user pool domainoauth2/revoke Revoca un token di aggiornamento e i token di accesso associati. Richiesta dall'app di revocare un token. Consulta Endpoint Revoke.
https://cognito-idp.Region.amazonaws.com/ your user pool ID /.well- -configurazione known/openid Una directory dell'architettura OIDC del tuo pool di utenti. 1 Richiesto dall'app per individuare i metadati dell'emittente del pool di utenti.
https://cognito-idp.Region.amazonaws.com/ /.well- .json your user pool ID known/jwks Chiavi pubbliche che puoi utilizzare per convalidare i token Amazon Cognito. 2 Richiesto dall'app per verificare i JWT.
https:///Your user pool domainoauth2/idpresponse I gestori dell'identità digitale devono reindirizzare gli utenti a questo endpoint con un codice di autorizzazione. Amazon Cognito riscatta il codice per un token quando autentica l'utente federato. Reindirizzato dall'accesso IdP OIDC come URL di callback del client IdP.
https://Your user pool domain/saml2/idpresponse L'URL di Assertion Consumer Response (ACS) per l'integrazione con i provider di identità SAML 2.0. Reindirizzato da SAML 2.0 IdP come URL ACS o punto di origine per l'accesso. IdP-initiated 3
Your user pool domainhttps:///saml2/logout L'URL Single Logout (SLO) per l'integrazione con i provider di identità SAML 2.0. Reindirizzato da SAML 2.0 IdP come URL di accesso singolo (SLO). Accetta solo l'associazione POST.

1 Il openid-configuration documento può essere aggiornato in qualsiasi momento con informazioni aggiuntive che mantengano l'endpoint conforme alle specifiche OIDC e OAuth2.

2 Il file jwks.json JSON può essere aggiornato in qualsiasi momento con nuove chiavi pubbliche per la firma dei token.

3 Per ulteriori informazioni sull'accesso IdP-initiated SAML, consulta. Implementa l' IdP-initiated accesso SAML

Per ulteriori informazioni sugli standard OpenID Connect e OAuth, consultare OpenID Connect 1.0 e OAuth 2.0.

Pool di utenti di Amazon Cognito come emittente OIDC

I pool di utenti di Amazon Cognito funzionano come provider di identità OpenID Connect (OIDC), fungendo da emittente che le librerie di applicazioni possono utilizzare per la federazione OIDC. Le librerie di applicazioni per la federazione OIDC possono fare riferimento ai due diversi percorsi, come illustrato di seguito, come endpoint di autodiscovery. Questo endpoint fornisce l'accesso al JSON Web Key Set (JWKS) /.well-known/jwks.json e ai metadati di rilevamento OIDC all'indirizzo/.well-known/openid-configuration, dove le applicazioni possono scoprire gli endpoint di autorizzazione, token e UserInfo.

Le applicazioni che supportano l'individuazione automatica OIDC possono configurarsi automaticamente interrogando questi endpoint noti. Per le applicazioni che non supportano l'individuazione automatica, è possibile codificare l'applicazione con gli endpoint OIDC specifici elencati nella sezione precedente.

Tipi di emittenti del pool di utenti
Emittente originale

L’attuale configurazione dell’emittente predefinito per i pool di utenti. L'URL dell'emittente è ospitato nella regione del pool di utenti e fornisce endpoint OIDC specifici per quella regione.

Gli emittenti originali adottano il formato. https://cognito-idp.us-east-1.amazonaws.com/us-east-1_EXAMPLE

Emittente aggiornato

Consigliato per tutti i pool di utenti, inclusa la replica multiregione. Gli emittenti aggiornati ospitano gli stessi contenuti JWKS in più regioni, con conseguente miglioramento della resilienza e dell’efficienza.

Gli emittenti aggiornati adottano il formatohttps://issuer-cognito-idp.us-east-1.amazonaws.com/us-east-1_EXAMPLE, che Region è il principale Regione AWS del pool di utenti.

Nota

Il tipo di emittente aggiornato non è compatibile con l'integrazione nativa di Amazon Cognito per l'autenticazione authenticate-cognito Application Load Balancer (l'azione). Per utilizzare un emittente aggiornato con un Application Load Balancer, configura invece l'integrazione OIDC generica (l'azione) e fornisci authenticate-oidc gli endpoint OIDC del tuo pool di utenti. Per ulteriori informazioni, consulta Autenticazione degli utenti tramite Application Load Balancer.

Preparati per le modifiche al documento di scoperta

Il openid-configuration documento è un documento di discovery OpenID Connect standard. Amazon Cognito può aggiungere voci di metadati nel tempo per mantenerlo conforme alle specifiche OpenID Connect e OAuth 2.0 e per migliorare la compatibilità con le librerie client OIDC. Queste aggiunte sono retrocompatibili: Amazon Cognito aggiunge nuovi membri, ma non rinomina, modifica il tipo o rimuove i membri già letti dall'applicazione. Scrivi al tuo client in modo che continui a funzionare man mano che il documento cresce.

Ignora i membri che non riconosci

Come richiesto dalla specifica OpenID Connect Discovery, considera facoltativi i membri dei metadati che non comprendi. Non rifiutate, rifiutate o inviate un errore quando il documento contiene un membro che l'applicazione non utilizza.

Non codificate il set o l'ordine dei membri

Analizza il documento come un oggetto JSON generale anziché come una struttura fissa. I membri possono apparire in qualsiasi ordine e il set di membri può cambiare tra le richieste e nel tempo. Indirizza ogni membro per nome e leggi ogni membro come il tipo definito dalla specifica per esso.

Metti alla prova i client rigorosi confrontandoli con il documento corrente

Se il tuo client convalida rigorosamente il documento di scoperta, recupera il documento corrente dall'/.well-known/openid-configurationendpoint del tuo pool di utenti e conferma che il client lo accetti prima di dipendere da un insieme specifico di membri.

I token Amazon Cognito seguono lo stesso approccio additivo e compatibile con le versioni future. Per ulteriori informazioni sull'analisi delle attestazioni in un ID o in un token di accesso, consulta. Analizza i token del pool di utenti in modo sicuro

Argomenti