Konfigurieren Sie AWS Cognito als OAuth-Identitätsanbieter oder Identitätsquelle für SSO.

Die miniOrange Identity Broker-Lösung ermöglicht protokollübergreifende Authentifizierung. Sie können AWS Cognito als Identitätsanbieter (IDP) für Single Sign-On (SSO) in Ihren Anwendungen/Websites konfigurieren oder als Identitätsquelle zur Authentifizierung von Benutzern aus AWS Cognito-Benutzerpools einrichten.

Wir bieten eine vorkonfigurierte Lösung zur Integration mit AWS Cognito, die die Implementierung vereinfacht und beschleunigt. Sie können AWS Cognito als OAuth/OIDC-Identitätsanbieter für SSO-Anmeldungen konfigurieren oder als Identitätsquelle für die Benutzerauthentifizierung einrichten.

Kostenlose Installationshilfe

miniOrange bietet Ihnen kostenlose Hilfe in Form eines Beratungsgesprächs mit unseren Systemingenieuren zur Konfiguration von SSO für verschiedene Anwendungen mit AWS Cognito als IDP in Ihrer Umgebung. Sie können AWS Cognito 30 Tage lang kostenlos testen.

Hierfür müssen Sie uns lediglich eine E-Mail an idpsupport@xecurify.com senden , um einen Termin zu vereinbaren, und wir helfen Ihnen umgehend weiter.

Voraussetzungen:

Bitte stellen Sie sicher, dass das Branding Ihrer Organisation bereits unter Anpassung >> Branding für Anmeldung und Registrierung im linken Menü des Dashboards festgelegt ist.

Folgen Sie der unten stehenden Schritt-für-Schritt-Anleitung für AWS Cognito Single Sign-On (SSO).

1. Konfigurieren Sie miniOrange als Service Provider in AWS Cognito

Hinweis: Um die AWS-Anmeldeseite anzupassen, wählen Sie bitte AWS als Benutzerspeicher aus. Für die Standard-AWS-Anmeldeseite können Sie AWS als Identitätsanbieter (IdP) konfigurieren.

Konfigurieren Sie miniOrange als SP in AWS Cognito
Konfigurieren Sie miniOrange als Userstore in AWS Cognito

Folgen Sie dieser Anleitung, um AWS Cognito als OAuth-Identitätsanbieter für SSO zu konfigurieren:

Anmelden bei aws amazon.

AWS Cognito Single Sign On (SSO): Anmeldung bei der Amazon-Konsole

Suchen Sie nach Cognito in England, AWS-Services Suchleiste wie unten gezeigt.

Suchen Sie in AWS-Services nach Cognito, um SSO zu konfigurieren

Klicken Sie auf Benutzerpool erstellen Schaltfläche, um einen neuen Benutzerpool zu erstellen.

AWS Cognito OAuth/OpenID Single Sign On (SSO): Klicken Sie auf „Benutzerpool erstellen“

Wählen Sie die Attribute in Ihrem Cognito-Benutzerpool zur Verwendung während des Anmeldevorgangs.

AWS Cognito OAuth/OpenID Single Sign On (SSO): Attribut im Cognito-Benutzerpool auswählen

Richten Sie ein sicheres Passwort ein, um Ihre Sicherheitsanforderungen zu konfigurieren. Machen Sie weiter mit „Kein MFA“ Option, wenn Sie möchten, dass sich Benutzer nur mit einem einzigen Authentifizierungsfaktor anmelden. Wenn du es wünschst MFA (Multi-Faktor-Authentifizierung) aktivieren Dafür sind SMS-Nachrichten erforderlich, die von Amazon SNS separat berechnet werden. Erfahren Sie mehr darüber werden auf dieser Seite erläutert. Klicken Sie Weiter.

AWS Cognito OAuth/OpenID Single Sign On (SSO): Machen Sie weiter ohne MFA

Einmaliges Anmelden (SSO) für AWS Cognito OAuth/OpenID

Attribute konfigurieren dies wäre während der Benutzeranmeldung erforderlich.

AWS Cognito OAuth/OpenID Single Sign-On (SSO): Attribut konfigurieren

Wählen Sie bei Bedarf weitere Attribute aus. Klicken Weiter.

AWS Cognito OAuth/OpenID Single Sign-On (SSO): Weiter klicken

Konfigurieren Sie, wie Ihr Benutzerpool E-Mail-Nachrichten an Benutzer sendet.

AWS Cognito OAuth/OpenID Single Sign-On (SSO): Wählen Sie „Senden“ und dann „E-Mail-Nachricht“.

Geben Sie einen Namen für Ihren Benutzerpool ein, auch unter Gehostete Authentifizierungsseiten, prüfen „Verwenden Sie die von Cognito gehostete Benutzeroberfläche“.

AWS Cognito OAuth/OpenID Single Sign-On (SSO): Geben Sie einen Namen für Ihren Benutzerpool ein.

Wählen Sie nun im Abschnitt „Domäne“ den Domänentyp aus „Eine Cognito-Domäne verwenden“. Geben Sie einen Domänennamen für Ihre Cognito-App ein.

AWS Cognito OAuth/OpenID Single Sign On (SSO): Geben Sie einen Domänennamen ein.

Unter dem Erster App-Client Geben Sie im Abschnitt einen Namen für Ihren App-Client ein und aktivieren Sie das Kontrollkästchen Generieren eines Clientgeheimnisses.

AWS Cognito OAuth/OpenID Single Sign-On (SSO): Geben Sie den Namen Ihres App-Clients ein.

Jetzt geh zu miniOrange Admin-Konsole.
Wählen Sie in der linken Navigationsleiste aus Identitätsanbieter >> sofort klicken Identitätsanbieter hinzufügen.

AWS Cognito SSO: Gehen Sie zu Identitätsanbieter

In Identitätsanbieter auswählenWählen OAuth/OpenID aus dem Dropdown.

Azure AD als Identitätsanbieter: Wählen Sie OAuth/OpenID aus der Dropdown-Liste aus.

Suchen Sie nach AWS Cognito in der Liste. Falls Sie es nicht finden, suchen Sie nach OAuth-Anbieter und richten Sie dort Ihre Anwendung ein.

Azure AD als Identitätsanbieter: Microsoft-Suche

Halten Sie die OAuth-Rückruf-URL als Umleitungs-URL, die in den nächsten Schritten benötigt wird.

AWS Cognito Single Sign-On: OAuth-Callback-URL kopieren

Nun, Under Erweiterte App-Client-EinstellungenWählen Identitätsanbieter as Cognito-Benutzerpool & Wählen Sie Autorisierungscode-Gewährung unter dem OAuth 2.0-Gewährungstypen und Wählen Sie OpenID, E-Mail und Profil aus Kontrollkästchen unter dem OpenID Connect-Bereiche Abschnitt (siehe Abbildung unten).
Klicken Sie auf Weiter Klicken Sie auf die Schaltfläche, um Ihre Konfigurationen zu speichern.

Überprüfen Sie nun Ihre Auswahl der Anforderungen. Klicken Benutzerpool erstellen um die Auswahl zu bestätigen und einen Benutzerpool zu erstellen.

Nachdem Sie Ihren Benutzerpool erfolgreich erstellt haben, Wählen Sie Ihren Poolnamen aus der Liste der Pools, um mit der Benutzererstellung zu beginnen.

Gehen Sie zur Registerkarte „Benutzer“.Und klicken Sie auf Benutzer erstellen.

Geben Sie Details ein, z Benutzername, E-Mail-Adresse und Passwort. Klicken Sie auf Benutzer erstellen um die Details zu speichern.

Sie haben die AWS Cognito-seitige Konfiguration erfolgreich abgeschlossen.

Folgen Sie dieser Anleitung, um AWS Cognito als Identitätsquelle für die Benutzerauthentifizierung zu konfigurieren:

A. Schritte zur Konfiguration des Benutzerpools

Anmelden bei aws amazon.
Geben Sie nun "Cognito" in das Suchfeld ein und wählen Sie Cognito aus dem Dropdown-Menü aus.

Suchen und wählen Sie Cognito in der AWS-Konsole aus.

Zurück Nach "Verwalten Sie Ihre Benutzerpools".

Klicken Sie auf "Benutzerpool erstellen".

Poolnamen hinzufügen und auswählen "Standardeinstellungen überprüfen".

Standardeinstellungen für den AWS Cognito-Benutzerpool überprüfen

Klicken Sie auf Bearbeitungssymbol wie im Bild unten gezeigt.

Aktivieren Sie nun die E-Mail-Adresse und Telefonnummer Option und klicken Sie auf Nächster Schritt .

E-Mail-Adresse und Telefonnummer in AWS Cognito aktivieren

Nächster Schritt: AWS Cognito-Benutzerpool

Klicken Sie auf "App-Client hinzufügen" & dann klicken Sie auf Fügen Sie einen App-Client hinzu.

Geben Sie den App-Clientnamen ein und Deaktivieren der Generierung des Clientgeheimnisses Möglichkeit. Aktivieren Sie die Benutzername/Passwortbasierte Authentifizierung Option, dann klicken Sie auf "App-Client erstellen".

Erstellen Sie einen AWS Cognito-App-Client und deaktivieren Sie das Clientgeheimnis.

Konfiguration des Authentifizierungsablaufs für den AWS Cognito-App-Client

Klicken Sie auf Zurück zu den Pooldetails um zu Ihrer Konfiguration zurückzukehren.

Klicken Sie auf Pool erstellen Klicken Sie auf die Schaltfläche, um Ihre Einstellungen zu speichern und einen Benutzerpool zu erstellen.

Schaltfläche „Pool erstellen“ AWS Cognito-Benutzerpool

Klicken Sie in der Navigationsleiste auf der linken Seite auf App-Client-Einstellungen Option im Menü „App-Integration“.

App-Client-Einstellungen AWS Cognito-Benutzerpool

Gehen Sie zum Cognito-Dashboard und wählen Sie aus „Cognito-Benutzerpool“, fügen Sie die Rückruf-URL hinzu, die Sie aus der Voraussetzung kopiert haben.
Die URL der Anwendungs-Homepage muss hinzugefügt werden Abmelde-URL.
Wählen Sie außerdem aus Erteilung des Autorisierungscodes als „Zulässige OAuth-Flows“ und wählen Sie aus E-Mail, OpenID, Profil als „Zulässige OAuth-Bereiche“.
Nachdem Sie alle Details ausgewählt haben, klicken Sie auf Änderungen speichern .

Änderungen speichern AWS Cognito App-Clienteinstellungen

Zurück Nach "App-Client" und klicken Sie auf "Details anzeigen" um eine Client-ID zu erhalten. (Behalten Sie die Client-ID griffbereit, da Sie sie später benötigen.)

Rufen Sie die Client-ID des AWS Cognito App-Clients ab

Zurück Nach Domainnamen Geben Sie einen Domainnamen für Ihre App ein. Nach dem Hinzufügen des Domainnamens können Sie dessen Verfügbarkeit über die Schaltfläche „Verfügbarkeit prüfen“ überprüfen. Klicken Sie nach Eingabe eines gültigen Domainnamens auf die Schaltfläche „Änderungen speichern“.

Vollständiger Domainname: Der vollständige Domänenname, den Sie im miniOrange-Dashboard eingeben müssen, lautet {Ihr Domainname}.auth.{Regionsname}.amazoncognito.com
Benutzer/Gruppen zur Cognito-App hinzufügen: Zurück Nach Benutzer und Gruppen und dann auf klicken Nutzer. Klicken Sie anschließend auf Benutzer erstellen.

Benutzer und Gruppen AWS Cognito-Benutzerpool

Füllen Sie alle erforderlichen Informationen aus und klicken Sie auf Benutzer erstellen.

Klicken Sie auf Groups und dann auf klicken Gruppe erstellen.

Füllen Sie alle erforderlichen Informationen aus und klicken Sie auf Gruppe erstellen.

B. Schritte zum Konfigurieren des Identitätspools

Zurück Nach Föderierte Identitäten und klicken Sie auf Neuen Identitätspool erstellen .

Neuen Identitätspool in AWS Cognito erstellen

Enter Name des Identitätspools und aktivieren Nicht authentifizierte Identitäten und Einstellungen für den Authentifizierungsablauf, dann klicken Sie auf Pool erstellen .

AWS Cognito-Konfiguration für Identitätspool erstellen

Klicken Sie auf Erlauben Klicken Sie auf und Sie erhalten die Identitätspool-ID.

Identitätspool-ID in AWS Cognito abrufen

2. Konfigurieren Sie AWS Cognito als Userstore oder IDP in miniOrange

Konfigurieren Sie AWS Cognito als IDP in miniOrange
Konfigurieren Sie AWS Cognito als Userstore in miniOrange

Zurück Nach miniOrange Admin-Konsole.
Wählen Sie in der linken Navigationsleiste aus Identitätsanbieter >> Identitätsanbieter hinzufügen.

Wählen Sie „Identitätsanbieter“ und fügen Sie einen Identitätsanbieter in der miniOrange-Administrationskonsole hinzu.

Auswählen OAuth/OpenID ab Alle Typ-Dropdown-Menü.

Wählen Sie OAuth/OpenID aus der Dropdown-Liste „Alle Typen“ aus.

Suchen Sie nach OAuth-Anbieter und wählen Sie es aus der Liste aus.

OAuth-Anbieter aus der Liste der Identitätsanbieter suchen

Navigieren Sie zum Abschnitt App-Integration in aws amazon und kopieren Sie den vollständigen Domänennamen in diesem Format: {Ihr Domainname}.auth.{Regionsname}.amazoncognito.com zur späteren Verwendung.

Registerkarte „App-Integration“ AWS Cognito-Domänenname

Noch in der App-Integration scrollen Sie nach unten zum App-Clients und Analysen und klicken Sie auf den Namen Ihres App-Clients, um die Kunden-ID und Kundengeheimnis.

App-Clients und Analysebereich AWS Cognito

Client-ID und Client-Geheimnis von AWS Cognito abrufen

Im Plug-and-Play-Betrieb Geben Sie im Menüband der miniOrange-Administrationskonsole die erforderlichen Werte ein.

Display Name	Benutzerdefinierter Anbieter
OAuth-Autorisierungsendpunkt	https://{Cognito-App-Domäne}/oauth2/autorisieren
OAuth-Zugriffstoken-Endpunkt	https://{Cognito-App-Domäne}/oauth2/token
OAuth-Endpunkt zum Abrufen von Benutzerinformationen (optional)	https://{Cognito-App-Domäne}/oauth2/Benutzerinfo
Kunden-ID	Von oben Schritt
Kundengeheimnis	Von oben Schritt
Geltungsbereich	OpenID E-Mail Telefon Profil

Geben Sie die AWS Cognito OAuth IDP-Konfigurationsdetails auf der Registerkarte „Allgemein“ ein.

Klicken Sie auf Gespeichert um die Konfiguration zu speichern.

Zurück Nach miniOrange Admin-Konsole.
Wählen Sie in der linken Navigationsleiste aus Identitätsanbieter >> Identitätsanbieter hinzufügen.

Identitätsanbieter in der miniOrange-Administrationskonsole hinzufügen

Unter dem Identitätsanbieter auswählenWählen API ab Alle Typ-Dropdown-Menü.

Wählen Sie im Dropdown-Menü „Identitätsanbieter auswählen“ die API aus.

Suchen Sie nach AWS Cognito und wählen Sie es aus der Liste aus.

Wählen Sie AWS Cognito Userstore aus der Liste der Identitätsanbieter aus.

Der Plug-and-Play-Betrieb Geben Sie auf der Registerkarte die folgenden Werte ein.

AWS Cognito-Benutzerspeicher – Registerkarte „Grundkonfiguration“

AWS Cognito-Identifikator	Name des Anbieters
AWS Cognito-Region	Cognito-Region aus dem Benutzerpool abrufen (z. B. us-east-2)
Identitätspool-ID	Ab Schritt 1.2
Benutzerpool-ID	Ab Schritt 1.1
Kunden-ID	Ab Schritt 1.1

Jetzt können Sie auf klicken Weiter um fortzufahren.

In Erweitert Geben Sie auf der Registerkarte die folgenden Werte ein.

Domänenzuordnung	Geben Sie durch Kommas getrennte Domänennamen für die Domänenzuordnung ein.
Fallback-Authentifizierung	Aktivieren Sie diese Option für die Fallback-Authentifizierung, falls die primäre Authentifizierung fehlschlägt.

AWS Cognito-Benutzerspeicher Erweiterte Einstellungen Domänenzuordnung Fallback-Authentifizierung

Gehen Sie zur Attribute Über die Registerkarte können Sie die Attribute für den AWS Cognito-Benutzerspeicher konfigurieren.

Benutzerdefinierte Attribute sendenWenn Sie diese Option aktivieren, werden beim Login nur die unten konfigurierten Attribute als Attribute gesendet.
Klicken Sie auf Attribute hinzufügen ein neues Attribut hinzufügen.

Geben Sie die Attributname, der an SP gesendet wurde und Attributname aus dem IdP-/Benutzerspeicher Werte.
Ejemplo: E-Mail → E-Mail, Vorname → First

Benutzerdefinierte Attribute zuordnen (AWS Cognito-Benutzerspeicher, Registerkarte „Attribute“)

Klicken Sie auf Gespeichert um das Attribut zu speichern.

3. Testen Sie die Verbindung

Besuchen Sie Ihre URL der Anmeldeseite.
Zurück Nach Identitätsanbieter Tab.
Suchen Sie Ihre App, klicken Sie auf die drei Punkte im Menü „Aktionen“ und wählen Sie aus Verbindung testen gegen den von Ihnen konfigurierten Identitätsanbieter (IDP).

Wenn Sie gültige AWS Cognito-Anmeldeinformationen eingeben (Anmeldeinformationen des Benutzers, der der in AWS Cognito erstellten App zugewiesen ist), wird ein Popup-Fenster angezeigt, das im folgenden Bildschirm dargestellt ist.

Daher ist Ihre Konfiguration von AWS Cognito als IDP in miniOrange erfolgreich abgeschlossen.

Hinweis:

Sie können dieser Anleitung folgen, wenn Sie SAML/WS-FED , OAuth/OIDC , JWT , Radius usw. konfigurieren möchten .

Konfigurieren Sie die Attributzuordnung

Zurück Nach Identitätsanbieter.
Klicken Sie im Menü „Aktionen“ auf die drei Punkte und wählen Sie aus Attributzuordnung gegen den von Ihnen konfigurierten Identitätsanbieter (IDP).

AWS Cognito Single Sign-On SSO – Auswählen und Konfigurieren der Attributzuordnung

Attributtyp – BENUTZER
Attributtyp – EXTERN

Ordnet während der Just-In-Time (JIT)-Benutzererstellung Informationen wie E-Mail und Benutzername zu. Die Attribute „E-Mail“ und „Benutzername“ sind zum Erstellen des Benutzerprofils erforderlich.

Klicken Sie auf + Attribut hinzufügen Schaltfläche, um die Attributfelder hinzuzufügen.

AWS Cognito Single Sign-On SSO-Zuordnung – Benutzerattribut

Überprüfen Sie die Attribute im Fenster „Verbindung testen“ aus dem vorherigen Schritt. Wählen Sie unter „An SP gesendeter Attributname“ alle Attributnamen aus, die Sie an Ihre Anwendung senden möchten.
Geben Sie die Werte der vom IdP kommenden Attribute in das Feld „Attributname vom IdP“ auf der Xecurify-Seite ein.

EXTERNE Zuordnungen helfen dabei, eingehende Attributnamen zu ändern, bevor sie an Apps gesendet werden, und stellen sicher, dass die Daten im richtigen Format vorliegen.

Klicken Sie auf + Attribut hinzufügen Schaltfläche, um die Attributfelder hinzuzufügen.

AWS Cognito Single Sign-On SSO-Zuordnung EXTERNAL-Attribut

Überprüfen Sie die Attribute im Fenster „Verbindung testen“ aus dem letzten Schritt. Geben Sie unter „An SP gesendeter Attributname“ die Attributnamen (beliebiger Name) ein, die Sie an Ihre Anwendung senden möchten.
Geben Sie den Wert der Attribute, die von IdP kommen, in das Feld „Attributname von IdP“ auf der Xecurify-Seite ein.

Konfigurieren Sie mehrere IDPs:

Sie können dieser Anleitung folgen , wenn Sie mehrere IDPs (Identitätsanbieter) konfigurieren und den Benutzern die Möglichkeit geben möchten , den IDP ihrer Wahl für die Authentifizierung auszuwählen .

Problemlösung

Sie erhalten diese Fehlermeldung, wenn Sie versuchen, sich per SSO bei einer Anwendung anzumelden, die für die Verwendung von AWS Cognito als externer IdP mit OAuth-basiertem Single Sign-On (SSO) eingerichtet wurde.

Fehler – Ungültige Umleitungs-URI

Dieser Fehler tritt auf, wenn die in der Authentifizierungsanforderung angegebene Umleitungs-URI nicht mit der in Cognito registrierten übereinstimmt.

Überprüfen Sie, ob die richtige Umleitungs-URI konfiguriert ist unter App-Client-Einstellungen in der AWS Cognito-Konsole.
Stellen Sie sicher, dass die Umleitungs-URL in Ihrem OAuth-Client genau mit der in Cognito übereinstimmt, einschließlich der Groß-/Kleinschreibung.

Fehler – invalid_client

Dieser Fehler tritt normalerweise auf, wenn die Client-ID oder das Client-Geheimnis in der OAuth-Anforderung falsch ist.

Überprüfen Sie die Kunden-ID und Die Geheime Werte in der App-Clients Abschnitt Ihres Cognito-Benutzerpool und stellen Sie sicher, dass sie in den OAuth-Anfragen Ihrer Anwendung korrekt verwendet werden.

Fehler – Erforderliche Bereiche fehlen

Wenn Ihrer OAuth-Anfrage die erforderlichen Bereiche fehlen (z. B. „OpenID“, „E-Mail“ oder „Profil“), gibt AWS Cognito diesen Fehler aus.

Zurück Nach App-Client-Einstellungen in England, Cognito-Benutzerpool und stellen Sie sicher, dass die relevanten Authentifizierungsbereiche aktiviert sind.
Stellen Sie außerdem sicher, dass die Bereiche in Ihrer OAuth-Autorisierungsanforderung enthalten sind.

Fehler – invalid_grant

Dieser Fehler tritt häufig auf, wenn ein Problem mit dem Autorisierungscode oder dem Aktualisierungstoken vorliegt, der zum Abrufen der Token verwendet wird.

Dies kann passieren, wenn der Autorisierungscode abgelaufen ist oder bereits verwendet wurde.
Stellen Sie sicher, dass Ihre Autorisierungscodes richtig verwendet werden und nicht abgelaufen sind. Überprüfen Sie außerdem, ob das Aktualisierungstoken abgelaufen ist.

Fehler – nicht autorisierter_Client

Dies bedeutet, dass der OAuth-Client (die Anwendung) den spezifischen Flow (z. B. Autorisierungscode, implizite oder Client-Anmeldeinformationen) nicht verwenden darf.

Zurück Nach App-Client-Einstellungen in der AWS Cognito-Konsole und bestätigen Sie, dass die richtigen Berechtigungstypen aktiviert sind, wie z. B. Erteilung des Autorisierungscodes, Implizite Gewährungusw., abhängig vom Ablauf Ihrer Anwendung.

Fehler – Zugriff verweigert

Dies tritt auf, wenn der Benutzer die Zustimmung verweigert oder die Client-App nicht über die Berechtigung verfügt, bestimmte Bereiche anzufordern.

Stellen Sie sicher, dass der Benutzer für die erforderlichen Bereiche die entsprechende Zustimmung erteilt hat.
Stellen Sie außerdem sicher, dass die angeforderten Bereiche verfügbar und autorisiert sind in App-Client-Einstellungen.

Inhalte