Como usar provedores de identidade OIDC com um grupo de usuários

Para registrar com um IdP OIDC

1. Crie uma conta de desenvolvedor com o IdP OIDC.

   Links para o OIDC IdPs

   IdP OIDC	Como instalar	URL de descoberta OIDC
   Salesforce	Salesforce as an OpenID Connect Identity Provider	https://MyDomainName.my.salesforce.com/.well-known/openid-configuration
   OneLogin	Connect an OIDC enabled app	https://your-domain.onelogin.com/oidc/2/.well-known/openid-configuration
   JumpCloud	SSO with OIDC	https://oauth.id.jumpcloud.com/.well-known/openid-configuration
   Okta	Instale um provedor de identidade Okta	https://Your Okta subdomain.okta.com/.well-known/openid-configuration
   Microsoft Entra ID	OpenID Connect on the Microsoft identity platform	https://login.microsoftonline.com/{tenant}/v2.0 Os valores de tenant podem incluir um ID de locatário, common, organizations ou consumers.

2. Inscreva o URL do domínio do grupo de usuários com o endpoint /oauth2/idpresponse com o IdP OIDC. Isso garante que o IdP OIDC o aceite posteriormente no Amazon Cognito quando autenticar os usuários.

   https://mydomain.auth.us-east-1.amazoncognito.com/oauth2/idpresponse

3. Selecione os escopos que você deseja que seu diretório de usuários compartilhe com o grupo de usuários. O escopo openid é necessário para que o OIDC ofereça qualquer IdPs informação do usuário. O escopo email é necessário para conceder acesso às declarações email e email_verified. Escopos adicionais na especificação do OIDC são profile para todos os atributos do usuário e phone para phone_number e phone_number_verified.

4. O IdP OIDC fornece um ID e uma chave secreta do cliente. Anote esses valores e adicione-os à configuração do IdP OIDC que você adicionará posteriormente ao grupo de usuários.

Exemplo: usar o Salesforce como um IdP OIDC com o grupo de usuários

Você usa um IdP OIDC quando deseja estabelecer confiança entre um IdP compatível com OIDC, como o Salesforce e seu grupo de usuários.

1. Crie uma conta no site de desenvolvedores do Salesforce.

2. Faça login na conta de desenvolvedor que você criou na etapa anterior.

3. Na página do Salesforce, execute um dos seguintes procedimentos:

   • Se você estiver usando o Lightning Experience, escolha o ícone de engrenagem da configuração e, depois, Setup Home (Página inicial de configuração).

   • Se você estiver usando o Salesforce Classic e você visualizar Setup (Configuração) no cabeçalho da interface do usuário, selecione-o.

   • Se você estiver usando o Salesforce Classic e você não visualizar Setup (Configuração) no cabeçalho, selecione seu nome na barra de navegação superior e selecione Setup (Configuração) na lista suspensa.

4. Na barra de navegação à esquerda, escolha Company Settings (Configurações da empresa).

5. Na barra de navegação, escolha Domain (Domínio), insira um domínio e escolha Create (Criar).

6. Na barra de navegação à esquerda, em Platform Tools (Ferramentas de plataforma), escolha Apps (Aplicações).

7. Escolha App Manager (Gerenciador de aplicativos).

8. 1. Escolha New connected app (Nova aplicação conectada).

   2. Preencha os campos necessários.

      Em Start URL (URL de início), insira um URL no endpoint /authorize para o domínio do grupo de usuários que faz login em seu IdP Salesforce. Quando seus usuários acessam sua aplicação conectada, o Salesforce os direciona para esse URL para concluir o login. Em seguida, o Salesforce redireciona os usuários para o URL de retorno de chamada que você associou ao cliente de aplicação.

      https://mydomain.auth.us-east-1.amazoncognito.com/authorize?response_type=code&client_id=<your_client_id>&redirect_uri=https://www.example.com&identity_provider=CorpSalesforce

   3. Ative OAuth as configurações e insira a URL do /oauth2/idpresponse endpoint do seu domínio do grupo de usuários em URL de retorno de chamada. Esse é o URL em que o Salesforce emite o código de autorização que o Amazon Cognito troca por um token. OAuth

      https://mydomain.auth.us-east-1.amazoncognito.com/oauth2/idpresponse

9. Selecione seus escopos. Você deve incluir o escopo openid. Para conceder acesso às declarações email e email_verified, adicione o escopo email. Escopos separados por espaços.

10. Escolha Criar.

    No Salesforce, o ID do cliente é chamado de Consumer Key (Chave do consumidor) e a chave secreta do cliente é uma Consumer Secret (Chave secreta do consumidor). Anote o ID e a chave secreta do cliente. Você poderá usá-los na próxima seção.