Amazon Verified Permissions OIDC ID ソースの作成

OpenID Connect (OIDC) ID ソースを作成するには

1. Verified Permissions コンソールを開きます。ポリシーストアを選択します。

2. 左側にあるナビゲーションペインで、[ID ソース] を選択します。

3. [ID ソースを作成]を選択します。

4. 外部 OIDC プロバイダーを選択します。

5. 発行者 URL に、OIDC 発行者の URL を入力します。これは、認可サーバー、署名キー、および などのプロバイダーに関するその他の情報を提供するサービスエンドポイントですhttps://auth.example.com。発行者 URL は、 で OIDC 検出ドキュメントをホストする必要があります/.well-known/openid-configuration。

6. トークンタイプで、アプリケーションが承認のために送信する OIDC JWT のタイプを選択します。詳細については、「スキーマへの OIDC トークンのマッピング」を参照してください。

7. スキーマエンティティへのトークンクレームをマップで、ID ソースのユーザーエンティティとユーザークレームを選択します。ユーザーエンティティは、OIDC プロバイダーのユーザーを参照するポリシーストア内のエンティティです。ユーザークレームは、通常sub、評価対象のエンティティの一意の識別子を保持する ID またはアクセストークンからのクレームです。接続された OIDC IdP の ID は、選択したプリンシパルタイプにマッピングされます。

8. （オプション) スキーマエンティティへのトークンクレームのマップで、アイデンティティソースのグループエンティティとグループクレームを選択します。グループエンティティはユーザーエンティティの親です。グループクレームはこのエンティティにマッピングされます。グループクレームは、評価対象のエンティティのユーザーグループ名の文字列、JSON、またはスペース区切りの文字列を含む ID またはアクセストークンgroupsからのクレームです。通常は です。接続された OIDC IdP の ID は、選択したプリンシパルタイプにマッピングされます。

9. 検証 - オプションで、ポリシーストアが認可リクエストで受け入れるクライアント IDs またはオーディエンス URLs があれば入力します。

10. [ID ソースを作成]を選択します。

11. （オプション) ポリシーストアにスキーマがある場合、Cedar ポリシーの ID トークンまたはアクセストークンから抽出した属性を参照する前に、スキーマを更新して、ID ソースが作成するプリンシパルのタイプを Cedar に認識させる必要があります。スキーマへの追加には、Cedar ポリシーで参照したい属性を含める必要があります。OIDC トークン属性を Cedar プリンシパル属性にマッピングする方法の詳細については、「」を参照してくださいスキーマへの OIDC トークンのマッピング。

12. トークンからの情報を使用して認可を決定するポリシーを作成します。詳細については、「Amazon Verified Permissions 静的ポリシーの作成」を参照してください。

1. create-identity-source コマンドの --configurationパラメータで使用する OIDC IdP の以下の詳細を含むconfig.txtファイルを作成します。

   {
       "openIdConnectConfiguration": {
           "issuer": "https://auth.example.com",
           "tokenSelection": {
                   "identityTokenOnly": {
                           "clientIds":["1example23456789"],
                           "principalIdClaim": "sub"
                   },
           },
           "entityIdPrefix": "MyOIDCProvider",
           "groupConfiguration": {
                 "groupClaim": "groups",
                 "groupEntityType": "MyCorp::UserGroup"
           }
       }
   }

2. 次のコマンドを実行して、OIDC ID ソースを作成します。

   $ aws verifiedpermissions create-identity-source \
       --configuration file://config.txt \
       --principal-entity-type "User" \
       --policy-store-id 123456789012
   {
       "createdDate": "2023-05-19T20:30:28.214829+00:00",
       "identitySourceId": "ISEXAMPLEabcdefg111111",
       "lastUpdatedDate": "2023-05-19T20:30:28.214829+00:00",
       "policyStoreId": "PSEXAMPLEabcdefg111111"
   }

3. （オプション) ポリシーストアにスキーマがある場合、Cedar ポリシーの ID トークンまたはアクセストークンから抽出した属性を参照する前に、スキーマを更新して、ID ソースが作成するプリンシパルのタイプを Cedar に認識させる必要があります。スキーマへの追加には、Cedar ポリシーで参照したい属性を含める必要があります。OIDC トークン属性を Cedar プリンシパル属性にマッピングする方法の詳細については、「」を参照してくださいスキーマへの OIDC トークンのマッピング。

4. トークンからの情報を使用して認可を決定するポリシーを作成します。詳細については、「Amazon Verified Permissions 静的ポリシーの作成」を参照してください。