View a markdown version of this page

对外部身份提供者使用 SAML 和 SCIM 身份联合验证 - AWS IAM Identity Center

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

对外部身份提供者使用 SAML 和 SCIM 身份联合验证

IAM Identity Center 实施以下基于标准的身份联合验证协议：

  • 用于用户身份验证的 SAML 2.0

  • 用于预置的 SCIM

任何实施这些标准协议的身份提供商 (IdP) 都有望与 IAM Identity Center 成功互操作，但需要注意以下特殊事项：

  • SAML

    • IAM Identity Center 要求电子邮件地址采用 SAML NameID 格式（即 urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress）。

    • 断言中 nameID 字段的值必须是符合 RFC 2822 (https://tools.ietf.org/html/rfc2822) addr-spec (“name@domain.com”) 字符串 (#section -3.4.1)。https://tools.ietf.org/html/rfc2822

    • SAML 断言的SubjectNameID值必须与在 IAM Identity C en ter 中配置的用户的用户名完全匹配。 Sign-in 如果 IAM Identity Center 无法NameID将与用户名进行匹配，即使外部 IdP 成功对用户进行了身份验证，也会失败。

    • 元数据文件不能超过 75000 个字符。

    • 元数据必须包含 EntityID、X509 证书，并 SingleSignOnService作为登录网址的一部分。

    • 不支持加密密钥。

    • IAM Identity Center 不支持对发送给外部 IdPs的 SAML 身份验证请求进行签名。

    • 如果您计划将 IAM Identity Center 复制到其他区域，并充分利用多区域 IAM 身份中心的优势，IdP 必须支持多个断言消费者服务 (ACS) 网址。有关更多信息，请参阅 跨多个使用 IAM 身份中心 AWS 区域。使用单个 ACS URL 可能会影响其他区域的用户体验。您的主要区域将继续正常运行。有关使用单个 ACS URL 在其他区域的用户体验的更多信息，请参阅使用 AWS 没有多个 ACS URL 的托管应用程序和AWS 账户 无需多个 ACS URL 即可实现访问弹性。

IdPs 不支持不符合上述标准和注意事项的内容。请联系您的 IdP，了解有关其产品是否符合这些标准和注意事项的问题或澄清。

如果您在将 IdP 连接到 IAM Identity Center 时遇到任何问题，我们建议您检查：

注意

有些 IdPs产品（例如中的那些）以专为 IAM Identity Center 构建的 “应用程序” 或 “连接器” 的形式为 IAM Identity Center 提供了简化的配置体验。IAM Identity Center 身份源教程如果您的 IdP 提供此选项，我们建议您使用它，并小心选择专为 IAM Identity Center 构建的项目。其他名为 “AWS”、“AWS 联合” 或类似的通用 “AWS” 名称的项目可能使用其他联合方法 and/or 终端节点，并且可能无法按预期与 IAM Identity Center 配合使用。