Konfigurieren Sie AWS Cognito als OAuth IDP für SSO

Die miniOrange Identity Broker-Servicelösung ermöglicht eine protokollübergreifende Authentifizierung. Sie können AWS Cognito als IDP für Single Sign-On (SSO) in Ihren Anwendungen/Websites konfigurieren. Dabei fungiert AWS Cognito als Identitätsanbieter (IDP) und miniOrange wird als Makler fungieren.

Wir bieten eine vorgefertigte Lösung für die Integration mit AWS Cognito, die die Implementierung vereinfacht und beschleunigt. Unser Team kann Ihnen auch dabei helfen, AWS Cognito als OIDC IDP einzurichten, damit Sie sich bei Ihren Anwendungen anmelden können.

Kostenlose Installationshilfe

miniOrange bietet kostenlose Hilfe durch ein Beratungsgespräch mit unseren Systemingenieuren zur Konfiguration von SSO für verschiedene Apps mit AWS Cognito als IDP in Ihrer Umgebung mit 30-Tage kostenlose Testversion.

Senden Sie uns hierzu einfach eine E-Mail an idpsupport@xecurify.com um einen Termin zu buchen und wir helfen Ihnen umgehend.

Voraussetzungen:

Bitte stellen Sie sicher, dass Ihr Organisations-Branding bereits unter Anpassung >> Login- und Registrierungs-Branding im linken Menü des Dashboards.

Folgen Sie der unten stehenden Schritt-für-Schritt-Anleitung für AWS Cognito Single Sign-On (SSO).

1. Konfigurieren Sie miniOrange als Service Provider in AWS Cognito

Hinweis: Wenn Sie die AWS-Anmeldeseite anpassen möchten, wählen Sie bitte AWS als Userstore. Für die standardmäßige AWS-Anmeldeseite können Sie AWS als IdP-Konfigurationen verwenden.

Konfigurieren Sie miniOrange als SP in AWS Cognito
Konfigurieren Sie miniOrange als Userstore in AWS Cognito

1.1 Konfigurieren von miniOrange als Dienstanbieter (SP) in AWS Cognito

Anmelden bei aws amazon.

AWS Cognito Single Sign On (SSO): Anmeldung bei der Amazon-Konsole

Suchen Sie nach Cognito in England, AWS-Services Suchleiste wie unten gezeigt.

Suchen Sie in AWS-Services nach Cognito, um SSO zu konfigurieren

Klicken Sie auf Benutzerpool erstellen Schaltfläche, um einen neuen Benutzerpool zu erstellen.

AWS Cognito OAuth/OpenID Single Sign On (SSO): Klicken Sie auf „Benutzerpool erstellen“

Wählen Sie die Attribute in Ihrem Cognito-Benutzerpool zur Verwendung während des Anmeldevorgangs.

AWS Cognito OAuth/OpenID Single Sign On (SSO): Attribut im Cognito-Benutzerpool auswählen

Richten Sie ein sicheres Passwort ein, um Ihre Sicherheitsanforderungen zu konfigurieren. Machen Sie weiter mit „Kein MFA“ Option, wenn Sie möchten, dass sich Benutzer nur mit einem einzigen Authentifizierungsfaktor anmelden. Wenn du es wünschst MFA (Multi-Faktor-Authentifizierung) aktivieren Dafür sind SMS-Nachrichten erforderlich, die von Amazon SNS separat berechnet werden. Erfahren Sie mehr darüber .. Klicken Sie Nächster.

AWS Cognito OAuth/OpenID Single Sign On (SSO): Machen Sie weiter ohne MFA

Einmaliges Anmelden (SSO) für AWS Cognito OAuth/OpenID

Attribute konfigurieren dies wäre während der Benutzeranmeldung erforderlich.

AWS Cognito OAuth/OpenID Single Sign On (SSO): Attribut konfigurieren

Wählen Sie bei Bedarf weitere Attribute aus. Klicken Nächster.

AWS Cognito OAuth/OpenID Single Sign On (SSO): Klicken Sie auf „Weiter“.

Konfigurieren Sie, wie Ihr Benutzerpool E-Mail-Nachrichten an Benutzer sendet.

AWS Cognito OAuth/OpenID Single Sign On (SSO): Wählen Sie „Senden“ und „Nachricht per E-Mail senden“

Geben Sie einen Namen für Ihren Benutzerpool ein, auch unter Gehostete Authentifizierungsseiten, prüfen „Verwenden Sie die von Cognito gehostete Benutzeroberfläche“.

AWS Cognito OAuth/OpenID Single Sign On (SSO): Geben Sie einen Namen für Ihren Benutzerpool ein.

Wählen Sie nun im Abschnitt „Domäne“ den Domänentyp aus „Eine Cognito-Domäne verwenden“. Geben Sie einen Domänennamen für Ihre Cognito-App ein.

AWS Cognito OAuth/OpenID Single Sign On (SSO): Geben Sie einen Domänennamen ein.

Unter dem Erster App-Client Geben Sie im Abschnitt einen Namen für Ihren App-Client ein und aktivieren Sie das Kontrollkästchen Generieren eines Clientgeheimnisses.

AWS Cognito OAuth/OpenID Single Sign On (SSO): Geben Sie den Namen Ihres App-Clients ein.

Jetzt geh zu miniOrange Admin-Konsole.
Wählen Sie in der linken Navigationsleiste aus Identitätsanbieter und klicken Sie auf Identitätsanbieter hinzufügen .

AWS Cognito OAuth/OpenID Single Sign On (SSO): Zu den Identitätsanbietern

Auswählen OAuth 2.0 und kopieren Sie die OAuth-Rückruf-URL, die in den nächsten Schritten benötigt werden.

AWS Cognito OAuth/OpenID Single Sign On (SSO): Wählen Sie OAuth 2.0

Geben Sie nun Ihre ein OAuth-Rückruf-URL das Sie von Ihrem miniOrange-Plugin auf Ihrer Client-Seite erhalten, und fügen Sie es unter ein Zulässige Rückruf-URLs Textfeld. Beachten Sie auch das folgende Bild zur Auswahl Authentifizierungsflüsse für deine App

Nun, Under Erweiterte App-Client-EinstellungenWählen Identitätsanbieter as Cognito-Benutzerpool & Wählen Sie Autorisierungscode-Gewährung unter dem OAuth 2.0-Gewährungstypen und Wählen Sie OpenID, E-Mail und Profil aus Kontrollkästchen unter dem OpenID Connect-Bereiche Abschnitt (siehe Abbildung unten).
Klicken Sie auf Schaltfläche Weiter um Ihre Konfigurationen zu speichern.

Überprüfen Sie nun Ihre Auswahl der Anforderungen. Klicken Benutzerpool erstellen um die Auswahl zu bestätigen und einen Benutzerpool zu erstellen.

Nachdem Sie Ihren Benutzerpool erfolgreich erstellt haben, Wählen Sie Ihren Poolnamen aus der Liste der Pools, um mit der Benutzererstellung zu beginnen.

Gehen Sie zum Registerkarte „Benutzer“.Und klicken Sie auf Benutzer erstellen.

Geben Sie Details ein, z Benutzername, E-Mail-Adresse und Passwort. Klicken Sie auf Benutzer erstellen um die Details zu speichern.

Sie haben die AWS Cognito-seitige Konfiguration erfolgreich abgeschlossen.

1.1 MiniOrange als Userstore in AWS Cognito konfigurieren

A] Schritte zum Konfigurieren des Benutzerpools

Anmelden bei aws amazon.
Geben Sie jetzt „Cognito“ in das Suchtextfeld ein und wählen Sie Cognito aus der Dropdown-Liste aus.

Gehe zu „Verwalten Sie Ihre Benutzerpools“.

OAuth/OpenID/OIDC Single Sign On (SSO), AWS Cognito SSO Login Verwalten Sie Benutzerpools

Klicken Sie auf „Erstellen Sie einen Benutzerpool“.

OAuth/OpenID/OIDC Single Sign On (SSO), AWS Cognito SSO Login Erstellen Sie einen Benutzerpool

Poolnamen hinzufügen und auswählen „Standardeinstellungen überprüfen“.

OAuth/OpenID/OIDC Single Sign On (SSO), AWS cognito SSO-Anmeldeüberprüfungsstandardwerte

Klicken Sie auf Bearbeitungssymbol wie im Bild unten gezeigt.

Aktivieren Sie nun die E-Mail-Adresse und Telefonnummer Option und klicken Sie auf Nächster Schritt .

OAuth/OpenID/OIDC Single Sign On (SSO), AWS Cognito SSO – E-Mail-Adresse und Telefonnummer konfigurieren

OAuth/OpenID/OIDC Single Sign On (SSO), AWS Cognito SSO Login App-Client hinzufügen

Klicken Sie auf „App-Client hinzufügen“ & dann klicken Sie auf Fügen Sie einen App-Client hinzu.

Geben Sie den App-Clientnamen ein und Deaktivieren der Generierung des Clientgeheimnisses Möglichkeit. Aktivieren Sie die Benutzername/Passwortbasierte Authentifizierung Option, dann klicken Sie auf „App-Client erstellen“.

OAuth/OpenID/OIDC Single Sign On (SSO), AWS Cognito SSO Login App-Client erstellen

Klicken Sie auf Zurück zu den Pooldetails um zu Ihrer Konfiguration zurückzukehren.

OAuth/OpenID/OIDC Single Sign On (SSO), AWS Cognito SSO-Anmeldung zurück zum AWS-Pool

Klicken Sie auf Pool erstellen Klicken Sie auf die Schaltfläche, um Ihre Einstellungen zu speichern und einen Benutzerpool zu erstellen.

OAuth/OpenID/OIDC Single Sign On (SSO), AWS Cognito SSO-Anmeldung Einen AWS-Benutzerpool erstellen

Klicken Sie in der Navigationsleiste auf der linken Seite auf App-Client-Einstellungen Option im Menü „App-Integration“.

OAuth/OpenID/OIDC Single Sign On (SSO), AWS Cognito SSO-Anmeldung, gehe zu den App-Client-Einstellungen

Gehen Sie zum Cognito-Dashboard und wählen Sie aus „Cognito-Benutzerpool“, fügen Sie die Rückruf-URL hinzu, die Sie aus der Voraussetzung kopiert haben.
Die URL der Anwendungs-Homepage muss hinzugefügt werden Abmelde-URL.
Wählen Sie außerdem aus Erteilung des Autorisierungscodes als „Zulässige OAuth-Flows“ und wählen Sie aus E-Mail, OpenID, Profil als „Zulässige OAuth-Bereiche“.
Nachdem Sie alle Details ausgewählt haben, klicken Sie auf Änderungen speichern .

OAuth/OpenID/OIDC Single Sign On (SSO), AWS Cognito SSO Login Änderungen speichern

Gehe zu „App-Client“ und klicken Sie auf "Zeige Details" um eine Client-ID zu erhalten. (Behalten Sie die Client-ID griffbereit, da Sie sie später benötigen.)

OAuth/OpenID/OIDC Single Sign On (SSO), AWS Cognito SSO-Login – Details zur Client-ID abrufen

Gehe zu Domainnamen und geben Sie einen Domänennamen für Ihre App ein. Nachdem Sie den Domänennamen hinzugefügt haben, können Sie dessen Verfügbarkeit prüfen, indem Sie auf die Schaltfläche „Verfügbarkeit prüfen“ klicken. Nachdem Sie einen gültigen Domänennamen eingegeben haben, klicken Sie auf die Schaltfläche „Änderungen speichern“.

OAuth/OpenID/OIDC Single Sign-On (SSO) – AWS Cognito SSO-Anmeldedomänenname

Vollständiger Domainname: Der vollständige Domänenname, den Sie im miniOrange-Dashboard eingeben müssen, lautet {Ihr Domainname}.auth.{Regionsname}.amazoncognito.com
Benutzer/Gruppen zur Cognito-App hinzufügen: Gehe zu Benutzer und Gruppen und dann auf klicken Nutzer. Klicken Sie anschließend auf Benutzer erstellen.

OAuth/OpenID/OIDC Single Sign On (SSO), AWS cognito SSO-Anmeldung, Benutzer/Gruppen hinzufügen

Füllen Sie alle erforderlichen Informationen aus und klicken Sie auf Benutzer erstellen.

OAuth/OpenID/OIDC Single Sign On (SSO), AWS Cognito SSO Login Benutzer erstellen

Klicken Sie auf Groups und dann auf klicken Gruppe erstellen.

OAuth/OpenID/OIDC Single Sign On (SSO), AWS cognito SSO-Anmeldegruppen

Füllen Sie alle erforderlichen Informationen aus und klicken Sie auf Gruppe erstellen.

OAuth/OpenID/OIDC Single Sign On (SSO), AWS Cognito SSO Login Gruppe erstellen

B] Schritte zum Konfigurieren des Identitätspools

Gehe zu Föderierte Identitäten und klicken Sie auf Neuen Identitätspool erstellen .

AWS Cognito SSO-Anmeldung: Identitätspool auswählen

Enter Name des Identitätspools und aktivieren Nicht authentifizierte Identitäten und Einstellungen für den Authentifizierungsablauf, dann klicken Sie auf Pool erstellen .

AWS Cognito SSO-Anmeldung: Neuen Benutzerpool erstellen

Klicken Sie auf Erlauben Klicken Sie auf und Sie erhalten die Identitätspool-ID.

AWS Cognito OAuth SSO: Cognito Identity Pool-ID abrufen

2. Konfigurieren Sie AWS Cognito als Userstore oder IDP in miniOrange

Konfigurieren Sie AWS Cognito als IDP in miniOrange
Konfigurieren Sie AWS Cognito als Userstore in miniOrange

Gehe zu miniOrange Admin-Konsole.
Wählen Sie in der linken Navigationsleiste aus Identitätsanbieter >> Identitätsanbieter hinzufügen. Wählen OAuth 2.0.

AWS Cognito SSO: Identitätsanbieter auswählen

Navigieren Sie zum Abschnitt App-Integration in aws amazon und kopieren Sie den vollständigen Domänennamen in diesem Format: {Ihr Domainname}.auth.{Regionsname}.amazoncognito.com zur späteren Verwendung.

Noch in der App-Integration scrollen Sie nach unten zum App-Clients und Analysen und klicken Sie auf den Namen Ihres App-Clients, um die Kunden-ID und Kundengeheimnis.

AWS Cognito OAuth/OpenID Single Sign On (SSO): In der App-Integration zu App-Clients und Analysen scrollen

AWS Cognito OAuth/OpenID Single Sign On (SSO): Client-ID und Client-Geheimnis kopieren

Geben Sie in der miniOrange-Admin-Konsole die erforderlichen Werte ein.

IdP-Name	Benutzerdefinierter Anbieter
IdP-Anzeigename	Wählen Sie einen geeigneten Namen
OAuth-Autorisierungsendpunkt	https://{Cognito-App-Domäne}/oauth2/autorisieren
OAuth-Zugriffstoken-Endpunkt	https://{Cognito-App-Domäne}/oauth2/token
OAuth-Endpunkt zum Abrufen von Benutzerinformationen (optional)	https://{Cognito-App-Domäne}/oauth2/Benutzerinfo
Kunden-ID	Von oben Schritt
Kundengeheimnis	Von oben Schritt
Geltungsbereich	OpenID E-Mail Telefon Profil

AWS Cognito OAuth/OpenID Single Sign On (SSO): Geben Sie die AWS Cognito IDP-Details ein.

Gehe zu miniOrange Admin-Konsole.
Wählen Sie in der linken Navigationsleiste aus Externe Verzeichnisse und klicken Sie auf Verzeichnis hinzufügen .

AWS Cognito OAuth/OpenID Single Sign On (SSO): Gehen Sie zu Externe Verzeichnisse und klicken Sie auf Verzeichnis hinzufügen

Auswählen AWS Cognito.

AWS Cognito OAuth/OpenID Single Sign On (SSO): AWS Cognito-Verzeichnisse auswählen

Geben Sie die folgenden Werte ein.

AWS Cognito-Identifikator	Name des Anbieters
AWS Cognito-Region	Holen Sie sich die Cognito-Region aus dem Benutzerpool (z. B. us-east-2).
Identitätspool-ID	Ab Schritt 1.2
Benutzerpool-ID	Ab Schritt 1.1
Kunden-ID	Ab Schritt 1.1

AWS Cognito OAuth/OpenID Single Sign On (SSO): Geben Sie die AWS Userstore-Werte ein.

Jetzt können Sie auf klicken Gespeichert.

3. Testen Sie die Verbindung

Besuchen Sie Ihre URL der Anmeldeseite.
Gehe zu Identitätsanbieter Tab.
Suchen Sie Ihre App, klicken Sie auf die drei Punkte im Menü „Aktionen“ und wählen Sie aus Verbindung testen gegen den von Ihnen konfigurierten Identitätsanbieter (IDP).

Wenn Sie gültige AWS Cognito-Anmeldeinformationen eingeben (Anmeldeinformationen des Benutzers, der der in AWS Cognito erstellten App zugewiesen ist), wird ein Popup-Fenster angezeigt, das im folgenden Bildschirm dargestellt ist.

Daher ist Ihre Konfiguration von AWS Cognito als IDP in miniOrange erfolgreich abgeschlossen.

Hinweis:

Sie können folgen dem Leitfaden, wenn Sie konfigurieren möchten SAML/WS-FED, OAuth/OIDC, JWT, Radius etc

Konfigurieren Sie die Attributzuordnung

Gehe zu Identitätsanbieter.
Klicken Sie im Menü „Aktionen“ auf die drei Punkte und wählen Sie aus Attributzuordnung gegen den von Ihnen konfigurierten Identitätsanbieter (IDP).

AWS Cognito Single Sign-On SSO – Auswählen und Konfigurieren der Attributzuordnung

Attributtyp – BENUTZER
Attributtyp – EXTERN

Ordnet während der Just-In-Time (JIT)-Benutzererstellung Informationen wie E-Mail und Benutzername zu. Die Attribute „E-Mail“ und „Benutzername“ sind zum Erstellen des Benutzerprofils erforderlich.

Klicken Sie auf + Attribut hinzufügen Schaltfläche, um die Attributfelder hinzuzufügen.

AWS Cognito Single Sign-On SSO-Zuordnung – Benutzerattribut

Überprüfen Sie die Attribute im Fenster „Verbindung testen“ aus dem vorherigen Schritt. Wählen Sie unter „An SP gesendeter Attributname“ alle Attributnamen aus, die Sie an Ihre Anwendung senden möchten.
Geben Sie die Werte der vom IdP kommenden Attribute in das Feld „Attributname vom IdP“ auf der Xecurify-Seite ein.

EXTERNE Zuordnungen helfen dabei, eingehende Attributnamen zu ändern, bevor sie an Apps gesendet werden, und stellen sicher, dass die Daten im richtigen Format vorliegen.

Klicken Sie auf + Attribut hinzufügen Schaltfläche, um die Attributfelder hinzuzufügen.

AWS Cognito Single Sign-On SSO-Zuordnung EXTERNAL-Attribut

Überprüfen Sie die Attribute im Fenster „Verbindung testen“ aus dem letzten Schritt. Geben Sie unter „An SP gesendeter Attributname“ die Attributnamen (beliebiger Name) ein, die Sie an Ihre Anwendung senden möchten.
Geben Sie den Wert der Attribute, die von IdP kommen, in das Feld „Attributname von IdP“ auf der Xecurify-Seite ein.

Konfigurieren Sie mehrere IDPs:

Sie können folgen dem Leitfaden, Wenn du möchtest Konfigurieren Sie mehrere IDPs (Identity Provider) und Geben Sie den Benutzern die Möglichkeit, den IDP auszuwählen ihrer Wahl zur Authentifizierung.

Problemlösung

Sie erhalten diese Fehlermeldung, wenn Sie versuchen, sich per SSO bei einer Anwendung anzumelden, die für die Verwendung von AWS Cognito als externer IdP mit OAuth-basiertem Single Sign-On (SSO) eingerichtet wurde.

Fehler – Ungültige Umleitungs-URI

Dieser Fehler tritt auf, wenn die in der Authentifizierungsanforderung angegebene Umleitungs-URI nicht mit der in Cognito registrierten übereinstimmt.

Überprüfen Sie, ob die richtige Umleitungs-URI konfiguriert ist unter App-Client-Einstellungen in der AWS Cognito-Konsole.
Stellen Sie sicher, dass die Umleitungs-URL in Ihrem OAuth-Client genau mit der in Cognito übereinstimmt, einschließlich der Groß-/Kleinschreibung.

Fehler – invalid_client

Dieser Fehler tritt normalerweise auf, wenn die Client-ID oder das Client-Geheimnis in der OAuth-Anforderung falsch ist.

Überprüfen Sie die Kunden-ID und Die Geheime Werte in der App-Clients Abschnitt Ihres Cognito-Benutzerpool und stellen Sie sicher, dass sie in den OAuth-Anfragen Ihrer Anwendung korrekt verwendet werden.

Fehler – Erforderliche Bereiche fehlen

Wenn Ihrer OAuth-Anfrage die erforderlichen Bereiche fehlen (z. B. „OpenID“, „E-Mail“ oder „Profil“), gibt AWS Cognito diesen Fehler aus.

Gehe zu App-Client-Einstellungen in England, Cognito-Benutzerpool und stellen Sie sicher, dass die relevanten Authentifizierungsbereiche aktiviert sind.
Stellen Sie außerdem sicher, dass die Bereiche in Ihrer OAuth-Autorisierungsanforderung enthalten sind.

Fehler – invalid_grant

Dieser Fehler tritt häufig auf, wenn ein Problem mit dem Autorisierungscode oder dem Aktualisierungstoken vorliegt, der zum Abrufen der Token verwendet wird.

Dies kann passieren, wenn der Autorisierungscode abgelaufen ist oder bereits verwendet wurde.
Stellen Sie sicher, dass Ihre Autorisierungscodes richtig verwendet werden und nicht abgelaufen sind. Überprüfen Sie außerdem, ob das Aktualisierungstoken abgelaufen ist.

Fehler – nicht autorisierter_Client

Dies bedeutet, dass der OAuth-Client (die Anwendung) den spezifischen Flow (z. B. Autorisierungscode, implizite oder Client-Anmeldeinformationen) nicht verwenden darf.

Gehe zu App-Client-Einstellungen in der AWS Cognito-Konsole und bestätigen Sie, dass die richtigen Berechtigungstypen aktiviert sind, wie z. B. Erteilung des Autorisierungscodes, Implizite Gewährungusw., abhängig vom Ablauf Ihrer Anwendung.

Fehler – Zugriff verweigert

Dies tritt auf, wenn der Benutzer die Zustimmung verweigert oder die Client-App nicht über die Berechtigung verfügt, bestimmte Bereiche anzufordern.

Stellen Sie sicher, dass der Benutzer für die erforderlichen Bereiche die entsprechende Zustimmung erteilt hat.
Stellen Sie außerdem sicher, dass die angeforderten Bereiche verfügbar und autorisiert sind in App-Client-Einstellungen.

Inhalte