Criação de fontes de identidade OIDC do Amazon Verified Permissions

Para criar uma fonte de identidade do OpenID Connect (OIDC)

1. Abra o console de Permissões verificadas. Escolha seu repositório de políticas.

2. No painel de navegação à esquerda, escolha Origens de identidade.

3. Escolha Criar origem de identidade.

4. Escolha o provedor externo do OIDC.

5. Em URL do emissor, insira a URL do emissor do OIDC. Esse é o endpoint do serviço que fornece o servidor de autorização, as chaves de assinatura e outras informações sobre seu provedor, por exemplohttps://auth.example.com. Seu URL de emissor deve hospedar um documento de descoberta do OIDC em. /.well-known/openid-configuration

6. Em Tipo de token, escolha o tipo de OIDC JWT que você deseja que seu aplicativo envie para autorização. Para obter mais informações, consulte Mapeando tokens OIDC para o esquema.

7. Em Mapear reivindicações de token para entidades do esquema, escolha uma entidade de usuário e uma declaração de usuário para a fonte de identidade. A entidade Usuário é uma entidade em seu repositório de políticas que você deseja indicar aos usuários do seu provedor OIDC. A reivindicação do usuário é uma reivindicaçãosub, normalmente, de seu ID ou token de acesso que contém o identificador exclusivo da entidade a ser avaliada. As identidades do IdP OIDC conectado serão mapeadas para o tipo principal selecionado.

8. (Opcional) Em Mapear declarações de token para entidades do esquema, escolha uma entidade de grupo e uma declaração de grupo para a fonte de identidade. A entidade do Grupo é mãe da entidade Usuário. As reivindicações de grupo são mapeadas para essa entidade. A declaração de grupo é uma afirmação, normalmentegroups, de seu ID ou token de acesso que contém uma string, JSON ou string delimitada por espaço de nomes de grupos de usuários para a entidade a ser avaliada. As identidades do IdP OIDC conectado serão mapeadas para o tipo principal selecionado.

9. Em validação - opcional, insira o cliente IDs ou público URLs que você deseja que seu repositório de políticas aceite nas solicitações de autorização, se houver.

10. Escolha Criar origem de identidade.

11. (Opcional) Se seu repositório de políticas tiver um esquema, antes de fazer referência aos atributos que você extrai dos tokens de identidade ou acesso em suas políticas do Cedar, você deverá atualizar seu esquema para que o Cedar conheça o tipo de principal que sua fonte de identidade cria. Essa adição ao esquema deve incluir os atributos que você deseja referenciar nas políticas do Cedar. Para obter mais informações sobre o mapeamento dos atributos do token OIDC para os atributos principais do Cedar, consulte. Mapeando tokens OIDC para o esquema

12. Crie políticas que usem informações dos tokens para tomar decisões de autorização. Para obter mais informações, consulte Criação de políticas estáticas do Amazon Verified Permissions.

1. Crie um config.txt arquivo que contenha os seguintes detalhes de um IdP do OIDC para uso pelo --configuration parâmetro do comando. create-identity-source

   {
       "openIdConnectConfiguration": {
           "issuer": "https://auth.example.com",
           "tokenSelection": {
                   "identityTokenOnly": {
                           "clientIds":["1example23456789"],
                           "principalIdClaim": "sub"
                   },
           },
           "entityIdPrefix": "MyOIDCProvider",
           "groupConfiguration": {
                 "groupClaim": "groups",
                 "groupEntityType": "MyCorp::UserGroup"
           }
       }
   }

2. Execute o comando a seguir para criar uma fonte de identidade OIDC.

   $ aws verifiedpermissions create-identity-source \
       --configuration file://config.txt \
       --principal-entity-type "User" \
       --policy-store-id 123456789012
   {
       "createdDate": "2023-05-19T20:30:28.214829+00:00",
       "identitySourceId": "ISEXAMPLEabcdefg111111",
       "lastUpdatedDate": "2023-05-19T20:30:28.214829+00:00",
       "policyStoreId": "PSEXAMPLEabcdefg111111"
   }

3. (Opcional) Se seu repositório de políticas tiver um esquema, antes de fazer referência aos atributos que você extrai dos tokens de identidade ou acesso em suas políticas do Cedar, você deverá atualizar seu esquema para que o Cedar conheça o tipo de principal que sua fonte de identidade cria. Essa adição ao esquema deve incluir os atributos que você deseja referenciar nas políticas do Cedar. Para obter mais informações sobre o mapeamento dos atributos do token OIDC para os atributos principais do Cedar, consulte. Mapeando tokens OIDC para o esquema

4. Crie políticas que usem informações dos tokens para tomar decisões de autorização. Para obter mais informações, consulte Criação de políticas estáticas do Amazon Verified Permissions.