本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

開始使用傳出聯合身分

本指南說明如何為 AWS 您的帳戶啟用傳出聯合身分，並取得您的第一個 JSON Web Token (JWT) （使用 GetWebIdentityToken API)。您將啟用此功能、與外部服務建立信任關係、設定 IAM 許可，以及使用 AWS CLI 或 AWS SDK for Python (Boto3) 請求權杖。

先決條件

開始前，請確保您具備以下條件：

為您的帳戶啟用傳出聯合身分

您必須先啟用傳出聯合身分，才能請求字符。您可以使用 AWS 管理主控台或以程式設計方式使用 EnableOutboundWebIdentityFederation API 來啟用此功能。

使用 AWS CLI

aws iam enable-outbound-web-identity-federation

使用適用於 Python 的 AWS SDK

import boto3

# Create IAM client
iam_client = boto3.client('iam')

# Enable outbound identity federation
response = iam_client.enable_outbound_web_identity_federation()
print(f"Feature enabled. Issuer URL: {response['IssuerUrl']}")
print(f"Status: {response['Status']}")

使用 AWS 主控台

導覽至 IAM，然後在左側導覽功能表的存取管理區段下選取帳戶設定

啟用此功能後，請記下您的帳戶特定發行者 URL。在外部服務中設定信任關係時，您將使用此 URL。您也可以視需要使用 GetOutboundWebIdentityFederationInfo API 擷取此發行者 URL。

在外部服務中建立信任關係

設定外部服務以信任和接受 AWS 帳戶發行的字符。具體步驟因服務而異，但通常涉及：

如需詳細的組態指示，請參閱外部服務文件。

設定 IAM 許可

建立 IAM 政策，授予呼叫 GetWebIdentityToken API 的許可，並將政策連接到需要產生字符的 IAM 角色。

此範例政策授予具有特定限制的權杖產生存取權。它只允許以「https://api.example.com」為對象請求字符，並強制執行字符生命週期上限為 5 分鐘 (300 秒）。如需可用來強制執行權杖屬性的條件金鑰IAM 和 AWS STS 條件內容索引鍵清單，請參閱 。

IAM 政策範例

{
    "Version": "2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "sts:GetWebIdentityToken",
            "Resource": "*",
            "Condition": {
                "ForAnyValue:StringEquals": {
                    "sts:IdentityTokenAudience": "https://api.example.com"
                },
                "NumericLessThanEquals": {
                    "sts:DurationSeconds": 300
                }
            }
        }
    ]
}

請求您的第一個 JSON Web 權杖 (JWT)

您可以使用 GetWebIdentityToken API 請求 JSON Web 權杖。您可以在呼叫 API 時指定下列參數：

API 會傳回下列欄位：

使用 AWS CLI

aws sts get-web-identity-token \
    --audience "https://api.example.com" \
    --signing-algorithm ES384 \
    --duration-seconds 300 \
    --tags Key=team,Value=data-engineering \
           Key=environment,Value=production \
           Key=cost-center,Value=analytics

使用適用於 Python 的 AWS SDK

import boto3

sts_client = boto3.client('sts')

response = sts_client.get_web_identity_token(
    Audience=['https://api.example.com'],
    DurationSeconds=300,
    SigningAlgorithm='RS256',
    Tags=[
        {'Key': 'team', 'Value': 'data-engineering'},
        {'Key': 'environment', 'Value': 'production'},
        {'Key': 'cost-center', 'Value': 'analytics'}
    ]
)

token = response['WebIdentityToken']

您也可以解碼 JWT，使用 PyJWT、Python-jose for Python、Nimbus JOSE+JWT for Java 或 jwt.io 等偵錯工具等標準 JWT 程式庫來檢查其內容。如需字符中包含之宣告了解字符宣告的詳細資訊，請參閱 。

搭配外部服務使用字符

收到字符後，將其包含在外部服務的請求中。該方法因服務而異，但大多數服務接受授權標頭中的字符。外部服務應實作權杖驗證邏輯，從發行者的已知端點擷取 JWKS 金鑰、驗證權杖的簽章，並在授予 AWS 工作負載存取權之前驗證基本宣告。

從 OpenID Connect (OIDC) 端點擷取驗證金鑰和中繼資料

您 AWS 帳戶的唯一發行者 URL 託管 OpenID Connect (OIDC) 探索端點，其中包含權杖驗證所需的驗證金鑰和中繼資料。

OIDC 探索端點 URL 包含一些提供者用來驗證字符的中繼資料。可在以下位置取得：

{issuer_url}/.well-known/openid-configuration

JWKS (JSON Web 金鑰集） 端點包含用於驗證字符簽章的金鑰。可在以下位置取得：

{issuer_url}/.well-known/jwks.json

使用 curl 擷取 JWKS

curl https://{issuer_url}/.well-known/jwks.json

回應：

{
  "keys": [
    {
      "kty": "EC",
      "use": "sig",
      "kid": "key-id-1",
      "alg": "ES384",
      "crv": "P-384",
      "x": "base64-encoded-x-coordinate",
      "y": "base64-encoded-y-coordinate"
    },
    {
      "kty": "RSA",
      "use": "sig",
      "kid": "key-id-2",
      "n": "base64-encoded-modulus",
      "e": "AQAB"
    }
  ]
}

使用適用於 Python 的 AWS SDK

import requests

# Fetch Openid Configuration
open_id_config_response = requests.get("https://{issuer_url}/.well-known/openid-configuration")
open_id_config = open_id_config_response.json()

# Fetch JWKS
jwks_response = requests.get("https://{issuer_url}/.well-known/jwks.json")
jwks = jwks_response.json()

我們建議您快取這些金鑰，以避免在每次權杖驗證時擷取它們。

基本宣告驗證

您應該盡可能驗證額外的 AWS特定宣告，以在外部服務中實作精細存取控制。例如，驗證 org_id 宣告以限制對 AWS 組織中 IAM 主體的存取、檢查 principal_tags 以強制執行屬性型存取控制 （例如僅允許生產環境或特定團隊），或驗證工作階段內容宣告，例如 lambda_source_function_arn 或 ec2_instance_source_vpc，以根據運算資源限制存取。如需字符中包含的完整聲明清單，請參閱了解字符宣告。