Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Lancement de séance SAML dans les groupes d'utilisateurs Amazon Cognito

Amazon Cognito prend en charge l'authentification unique (SSO) et l'authentification unique initiées par le fournisseur de services (SP-initiated). IdP-initiated En tant que meilleure pratique de sécurité, implémentez le SP-initiated SSO dans votre groupe d'utilisateurs. La section 5.1.2 de la présentation V2.0 technique du SAML décrit SP-initiated le SSO. Amazon Cognito est le fournisseur d'identité de votre application. L'application est le fournisseur de services qui récupère les jetons pour les utilisateurs authentifiés. Toutefois, quand vous utilisez un fournisseur d'identité tiers pour authentifier les utilisateurs, Amazon Cognito est le fournisseur de services. Lorsque vos utilisateurs SAML 2.0 s'authentifient auprès d'un SP-initiated flux, ils doivent toujours d'abord envoyer une demande à Amazon Cognito et être redirigés vers l'IdP pour s'authentifier.

Pour certains cas d'utilisation d'entreprise, l'accès aux applications internes commence à un marque-page sur un tableau de bord hébergé par le fournisseur d'identité de l'entreprise. Lorsqu'un utilisateur sélectionne un marque-page, le fournisseur d'identité génère une réponse SAML et l'envoie au fournisseur de services pour authentifier l'utilisateur auprès de l'application.

Vous pouvez configurer un IdP SAML dans votre groupe d'utilisateurs pour IdP-initiated prendre en charge l'authentification unique. Lorsque vous soutenez IdP-initiated l'authentification, Amazon Cognito ne peut pas vérifier qu'il a sollicité la réponse SAML qu'il reçoit, car Amazon Cognito n'initie pas l'authentification par le biais d'une demande SAML. Dans le SP-initiated SSO, Amazon Cognito définit les paramètres d'état qui valident une réponse SAML par rapport à la demande d'origine. En vous SP-initiated connectant, vous pouvez également vous prémunir contre la falsification de requêtes intersites (CSRF).

Implémenter la SP-initated connexion SAML

La meilleure pratique consiste à implémenter la connexion initiée par le fournisseur de services (SP-initiated) à votre groupe d'utilisateurs. Amazon Cognito lance la session de votre utilisateur et le redirige vers votre IdP. Avec cette méthode, vous avez le meilleur contrôle sur les personnes qui présentent les demandes de connexion. Vous pouvez également autoriser la IdP-initiated connexion sous certaines conditions.

Le processus suivant montre comment les utilisateurs se SP-initiated connectent à votre groupe d'utilisateurs via un fournisseur SAML.

Lorsqu'un utilisateur s'authentifie et reçoit un code d'autorisation octroyé, le groupe d'utilisateurs renvoie des jetons d'identification, d'accès et d'actualisation. Le jeton d'identification est un objet d'authentification pour la gestion des OIDC-based identités. Le jeton d'accès est un objet d'autorisation dont le champ d'application est OAuth 2.0. Le jeton d'actualisation est un objet qui génère un nouvel identifiant et des jetons d'accès lorsque les jetons actuels de votre utilisateur ont expiré. Vous pouvez configurer la durée des jetons des utilisateurs dans le client d'application de votre groupe d'utilisateurs.

Vous pouvez également choisir la durée des jetons d'actualisation. Une fois le jeton d'actualisation d'un utilisateur expiré, celui-ci doit se reconnecter. S'ils se sont authentifiés via un IdP SAML, la durée de session de vos utilisateurs est définie par l'expiration de leurs jetons, et non par l'expiration de leur session avec leur IdP. Votre application doit stocker le jeton d'actualisation de chaque utilisateur et renouveler sa session à son expiration. La connexion gérée conserve les sessions utilisateur dans un cookie de navigateur valide pendant 1 heure.

Implémenter la IdP-initiated connexion SAML

Lorsque vous configurez votre fournisseur d'identité pour la connexion IdP-initiated SAML 2.0, vous pouvez présenter des assertions SAML au point de saml2/idpresponse terminaison du domaine de votre groupe d'utilisateurs sans avoir à lancer la session sur le. Point de terminaison d’autorisation Un groupe d'utilisateurs doté de cette configuration accepte les assertions IdP-initiated SAML provenant d'un fournisseur d'identité externe du groupe d'utilisateurs pris en charge par le client d'application demandé.

Les étapes suivantes décrivent le processus global de configuration et de connexion à un fournisseur IdP-initiated SAML 2.0.

Pour accepter des assertions SAML non sollicitées dans votre groupe d'utilisateurs, vous devez tenir compte de leur effet sur la sécurité de votre application. L'usurpation de demande et les tentatives de CSRF sont probables lorsque vous acceptez des demandes. IdP-initiated Bien que votre groupe d'utilisateurs ne puisse pas vérifier une session de IdP-initiated connexion, Amazon Cognito valide les paramètres de votre demande et vos assertions SAML.

De plus, votre assertion SAML ne doit pas contenir de InResponseTo réclamation et doit avoir été émise dans les 6 minutes précédentes.

Vous devez envoyer des demandes avec IdP-initiated SAML à votre/saml2/idpresponse. Pour les demandes d'autorisation de connexion gérées SP-initiated et gérées, vous devez fournir des paramètres identifiant le client d'application que vous avez demandé, les champs d'application, l'URI de redirection et d'autres informations sous forme de paramètres de chaîne de requête dans les HTTP GET demandes. Pour les assertions IdP-initiated SAML, toutefois, les détails de votre demande doivent être mis en forme sous forme de RelayState paramètre dans le corps de la demande. HTTP POST Le corps de la demande doit également contenir votre assertion SAML en tant que SAMLResponse paramètre.

Voici un exemple de demande et de réponse pour un fournisseur IdP-initiated SAML.

POST /saml2/idpresponse HTTP/1.1
User-Agent: USER_AGENT
Accept: */*
Host: example.auth.us-east-1.amazoncognito.com
Content-Type: application/x-www-form-urlencoded

SAMLResponse=[Base64-encoded SAML assertion]&RelayState=identity_provider%3DMySAMLIdP%26client_id%3D1example23456789%26redirect_uri%3Dhttps%3A%2F%2Fwww.example.com%26response_type%3Dcode%26scope%3Demail%2Bopenid%2Bphone

HTTP/1.1 302 Found
Date: Wed, 06 Dec 2023 00:15:29 GMT
Content-Length: 0
x-amz-cognito-request-id: 8aba6eb5-fb54-4bc6-9368-c3878434f0fb
Location: https://www.example.com?code=[Authorization code]

AWS Management Console

Pour configurer un IdP pour SAML IdP-initiated

1. Créez un groupe d'utilisateurs, un client d'application et un fournisseur d'identité SAML.

2. Dissociez tous les fournisseurs d'identité sociaux et OIDC de votre client d'application, le cas échéant.

3. Accédez au menu des fournisseurs sociaux et externes de votre groupe d'utilisateurs.

4. Modifiez ou ajoutez un fournisseur SAML.

5. Sous Connexion IdP-initiated SAML, sélectionnez Accepter SP-initiated et assertions IdP-initiated SAML.

6. Sélectionnez Enregistrer les modifications.

API/CLI

Pour configurer un IdP pour SAML IdP-initiated

Configurez IdP-initiated SAML avec le IDPInit paramètre dans une demande d'UpdateIdentityProviderAPI CreateIdentityProviderou d'API. Voici un exemple ProviderDetails d'IdP qui prend en charge IdP-initiated le protocole SAML.

"ProviderDetails": { 
      "MetadataURL" : "https://myidp.example.com/saml/metadata",
      "IDPSignout" : "true",
      "RequestSigningAlgorithm" : "rsa-sha256",
      "EncryptedResponses" : "true",
      "IDPInit" : "true"
}