Configura AWS Cognito come IDP OAuth o Identity Source per SSO

La soluzione di servizio miniOrange Identity Broker consente l'autenticazione multiprotocollo. È possibile configurare AWS Cognito come Fornitore di identità (IDP) per l'accesso Single Sign-On (SSO) alle tue applicazioni/siti Web oppure configuralo come Identity Source per autenticare gli utenti dai pool di utenti di AWS Cognito.

Offriamo una soluzione predefinita per l'integrazione con AWS Cognito, rendendola più semplice e rapida da implementare. Puoi configurare AWS Cognito come IDP OAuth/OIDC per l'accesso SSO, oppure come Identity Source per utilizzare AWS Cognito come fonte di identità per l'autenticazione degli utenti.

Ottieni assistenza gratuita per l'installazione

miniOrange offre assistenza gratuita tramite una chiamata di consulenza con i nostri ingegneri di sistema per configurare SSO per diverse app utilizzando AWS Cognito come IDP nel tuo ambiente con Prova gratuita 30-day.

Per questo, devi solo inviarci un'e-mail a idpsupport@xecurify.com per prenotare un posto e ti aiuteremo in pochissimo tempo.

Prerequisiti

Assicurati che il marchio della tua organizzazione sia già impostato sotto Personalizzazione >> Accesso e registrazione Branding nel menu a sinistra della dashboard.

Seguire la guida dettagliata fornita di seguito per AWS Cognito Single Sign-On (SSO)

1. Configura miniOrange come fornitore di servizi in AWS Cognito

Nota: Se desideri personalizzare la pagina di login di AWS, scegli AWS come Userstore. Per la pagina di login di AWS predefinita, puoi usare AWS come configurazioni IdP.

Configura miniOrange come SP in AWS Cognito
Configura miniOrange come Userstore in AWS Cognito

Segui questa guida per configurare AWS Cognito come IDP OAuth per SSO:

Accedi a aws amazon.

AWS Cognito Single Sign On (SSO): accedi alla console Amazon

Cercare Cognito nella Servizi AWS barra di ricerca come mostrato di seguito.

Cerca Cognito nei servizi AWS per configurare SSO

Fare clic su Crea pool di utenti pulsante per creare un nuovo pool di utenti.

AWS Cognito OAuth/OpenID Single Sign On (SSO): fare clic su Crea pool di utenti

Scegli gli attributi nel tuo Pool di utenti Cognito da utilizzare durante la procedura di accesso.

AWS Cognito OAuth/OpenID Single Sign On (SSO): scegli l'attributo nel pool di utenti Cognito

Imposta una password complessa per configurare i tuoi requisiti di sicurezza. Procedi con il "Nessun MFA" opzione se vuoi che gli utenti accedano solo con un singolo fattore di autenticazione. Se desideri abilitare MFA (autenticazione a più fattori) richiederà messaggi SMS che vengono addebitati separatamente da Amazon SNS. Scopri di più a riguardo Qui.. Clic Avanti.

AWS Cognito OAuth/OpenID Single Sign On (SSO): vai avanti con No MFA

Accesso singolo (SSO) OAuth/OpenID di AWS Cognito

Configurare gli attributi che sarebbe necessario durante il processo di registrazione dell'utente.

AWS Cognito OAuth/OpenID Single Sign On (SSO): configurazione dell'attributo

Scegli attributi aggiuntivi se lo desideri. Fai clic Avanti.

AWS Cognito OAuth/OpenID Single Sign On (SSO): fare clic su Avanti

Configura il modo in cui il tuo pool di utenti invia messaggi e-mail agli utenti.

AWS Cognito OAuth/OpenID Single Sign On (SSO): scegli Invia e invia un messaggio e-mail

Inserisci un nome per il tuo pool di utenti, anche in Pagine di autenticazione ospitate, dai un'occhiata all' "Utilizza l'interfaccia utente ospitata da Cognito".

AWS Cognito OAuth/OpenID Single Sign On (SSO): immetti un nome per il tuo pool di utenti

Ora, nella sezione Dominio seleziona il tipo di dominio come "Utilizza un dominio Cognito"Inserisci un nome di dominio per la tua app Cognito.

AWS Cognito OAuth/OpenID Single Sign On (SSO): inserisci un nome di dominio

Sotto il Client dell'app iniziale sezione, inserisci un nome per il tuo client app e seleziona Genera un segreto client.

AWS Cognito OAuth/OpenID Single Sign On (SSO): inserisci il nome del tuo client app

Ora vai Console di amministrazione miniOrange.
Dalla barra di navigazione a sinistra seleziona Fornitori di identità >> clicca Aggiungi provider di identità.

AWS Cognito SSO: vai a Provider di identità

In Scegli il fornitore di identità, selezionare OAuth/OpenID dal menu a discesa.

Azure AD come IDP: seleziona OAuth/OpenID dal menu a discesa

Cercare AWS Cognito nell'elenco. Se non lo trovi, cerca Fornitore OAuth e imposta lì la tua applicazione.

Tenere il URL di callback OAuth come URL di reindirizzamento, che sarà necessario nei passaggi successivi.

AWS Cognito Single Sign-On: copia l'URL di callback OAuth

Ora, sotto Impostazioni client app avanzate, selezionare Fornitore di identità as Pool di utenti Cognito & Seleziona Concessione codice autorizzazione sotto il Tipi di concessione OAuth 2.0 e anche seleziona openid, email e profilo caselle di controllo sotto il Ambiti di OpenID Connect sezione (fare riferimento all'immagine sottostante).
Clicca sul Avanti pulsante per salvare le tue configurazioni.

Ora, rivedi la tua selezione di requisiti. Fai clic Crea pool di utenti per confermare la selezione e creare un pool di utenti.

Dopo aver creato con successo il tuo pool di utenti, Seleziona il nome del tuo pool dall'elenco dei pool per iniziare con la creazione dell'utente.

Vai scheda utentie fare clic Creare un utente.

Inserisci dettagli come nome utente, indirizzo email e password. Fare clic su Creare un utente per salvare i dettagli.

Hai completato con successo la configurazione lato AWS Cognito.

Segui questa guida per configurare AWS Cognito come Identity Source per l'autenticazione utente:

A. Passaggi per configurare il pool di utenti

Accedi a aws amazon.
Ora inserisci "Cognito" nella casella di testo di ricerca e seleziona Cognito dal menu a discesa.

Cerca e seleziona Cognito dalla console AWS

Vai su "Gestisci i tuoi pool di utenti".

Fare clic su "Crea un pool di utenti".

Aggiungi il nome del pool e seleziona "Revisiona impostazioni predefinite".

Esamina i valori predefiniti del pool di utenti AWS Cognito

Fare clic su Modifica icona come mostrato nell'immagine sottostante.

Ora, abilita il Indirizzo email e numero di telefono opzione e fare clic su Passo successivo pulsante.

Abilita indirizzo e-mail numero di telefono AWS Cognito

Pulsante Passaggio successivo Pool di utenti AWS Cognito

Fare clic su "Aggiungi client app" e poi clicca su Aggiungere un client app.

Inserisci il nome del client dell'app e Disabilita Genera segreto client opzione. Abilita il Autenticazione basata su nome utente e password opzione, quindi fare clic su "Crea client app".

Crea app client AWS Cognito disabilita il segreto client

Configurazione del flusso di autenticazione del client dell'app AWS Cognito

Fare clic su Torna ai dettagli della piscina per tornare alla tua configurazione.

Fare clic su Crea piscina per salvare le impostazioni e creare un pool di utenti.

Pulsante Crea pool Pool di utenti AWS Cognito

Nella barra di navigazione presente sul lato sinistro, cliccare su Impostazioni client app opzione nel menu Integrazione app.

Impostazioni client app Pool di utenti AWS Cognito

Vai alla dashboard di Cognito e seleziona “Pool di utenti Cognito”, aggiungi l'URL di callback che hai copiato dal Prerequisito.
Aggiungere l'URL della home page dell'applicazione deve URL di disconnessione.
Inoltre, seleziona Concessione del codice di autorizzazione come "Flussi OAuth consentiti" e seleziona e-mail, OpenID, Profilo come "Ambiti OAuth consentiti".
Dopo aver selezionato tutti i dettagli clicca su Salvare le modifiche pulsante.

Salva le modifiche Impostazioni client app AWS Cognito

Vai su "Cliente dell'app" e cliccare su "Mostra dettagli" per ottenere un ID cliente. (Tieni a portata di mano l'ID cliente perché ti servirà in seguito.)

Ottieni l'ID client Client dell'app AWS Cognito

Vai su nome di dominio e inserisci un nome di dominio per la tua app. Dopo aver aggiunto il nome di dominio, puoi verificarne la disponibilità cliccando sul pulsante "Verifica disponibilità". Dopo aver inserito un nome di dominio valido, clicca sul pulsante "Salva modifiche".

Configurazione del nome di dominio AWS Cognito

Nome di dominio completo: Il nome di dominio completo che devi inserire nella dashboard di miniOrange è {il tuo nome di dominio}.auth.{nome della regione}.amazoncognito.com
Aggiungi utenti/gruppi all'app Cognito: Vai su Utenti e gruppi e quindi fare clic su UtentiDopo questo clicca su Creare un utente.

Utenti e gruppi Pool di utenti AWS Cognito

Compila tutte le informazioni richieste e clicca su Creare un utente.

Fare clic su Gruppi e quindi fare clic su Crea gruppo.

Compila tutte le informazioni richieste e clicca su Crea gruppo.

B. Passaggi per configurare il pool di identità

Vai su Identità federate e cliccare su Crea un nuovo pool di identità pulsante.

Crea un nuovo pool di identità AWS Cognito

entra Nome del pool di identità e abilitare Identità non autenticate and Impostazioni del flusso di autenticazione, quindi fare clic su Crea pool pulsante.

Crea la configurazione AWS Cognito del pool di identità

Fare clic su Consentire pulsante e otterrai il ID pool identità.

Ottieni l'ID del pool di identità AWS Cognito

2. Configura AWS Cognito come Userstore O IDP in miniOrange

Configura AWS Cognito come IDP in miniOrange
Configura AWS Cognito come Userstore in miniOrange

Vai su Console di amministrazione miniOrange.
Dalla barra di navigazione a sinistra seleziona Provider di identità >> Aggiungi provider di identità.

Seleziona Provider di identità e Aggiungi provider di identità miniOrange Admin Console

Seleziona OAuth/OpenID da Tutti tipo menu a discesa.

Seleziona OAuth/OpenID dal menu a discesa Tutti i tipi

Cercare Fornitore OAuth e selezionalo dall'elenco.

Cerca il provider OAuth dall'elenco dei provider di identità

Passare alla sezione Integrazione app in aws amazon e copia il nome di dominio completo in questo formato: {il tuo nome di dominio}.auth.{nome della regione}.amazoncognito.com per un uso successivo.

Scheda Integrazione app Nome dominio AWS Cognito

Ancora nella Integrazione app scheda, scorrere verso il basso fino a Client e analisi delle app sezione e fai clic sul nome del tuo client App per vedere il ID cliente and Client Secret.

Sezione client e analisi app AWS Cognito

Ottieni ID client e segreto client AWS Cognito

Nel Basic scheda della console di amministrazione miniOrange, immettere i valori come richiesto.

Display Nome	Fornitore personalizzato
Endpoint di autorizzazione OAuth	https://{dominio-app-cognito}/oauth2/autorizza
Endpoint del token di accesso OAuth	https://{dominio-app-cognito}/oauth2/token
Endpoint di OAuth Get User Info (facoltativo)	https://{dominio-app-cognito}/oauth2/userInfo
ID cliente	Dal gradino superiore
Segreto del cliente	Dal gradino superiore
Obbiettivo	openid email telefono profilo

Inserisci i dettagli di configurazione dell'IDP OAuth di AWS Cognito nella scheda Base

Fare clic su Salva per salvare la configurazione.

Vai su Console di amministrazione miniOrange.
Dalla barra di navigazione a sinistra seleziona Provider di identità >> Aggiungi provider di identità.

Aggiungi provider di identità miniOrange Admin Console

Sotto il Scegli il fornitore di identità, selezionare API da Tutti tipo menu a discesa.

Seleziona API dal menu a discesa Scegli provider di identità

Cercare AWS Cognito e selezionalo dall'elenco.

Seleziona l'archivio utenti AWS Cognito dall'elenco dei provider di identità

Sotto Basic scheda, immettere i seguenti valori.

Scheda di configurazione di base dell'userstore AWS Cognito

Identificatore AWS Cognito	Nome del provider
Regione AWS Cognito	Ottieni la regione Cognito dal pool di utenti (ad esempio, us-east-2)
ID pool identità	Dal passo 1.2
ID del pool di utenti	Dal passo 1.1
ID cliente	Dal passo 1.1

Ora puoi fare clic su Avanti pulsante per procedere.

In Filtri scheda, immettere i seguenti valori.

Mappatura del dominio	Inserisci i nomi di dominio separati da virgole per la mappatura dei domini.
Autenticazione di fallback	Abilitare questa opzione per l'autenticazione di fallback se l'autenticazione primaria fallisce.

AWS Cognito userstore Impostazioni avanzate Mapping dominio Autenticazione di fallback

Vai Attributi scheda e configurare gli attributi per l'userstore di AWS Cognito.

Invia attributi personalizzati, se si abilita questa opzione, al momento dell'accesso verranno inviati solo gli attributi configurati di seguito.
Fare clic su Aggiungi attributo per aggiungere un nuovo attributo.

Inserire il Nome attributo inviato a SP and Nome attributo dall'archivio IdP/Utente valori.
Esempio: email → Email, nome → Nome

Mappa gli attributi personalizzati Scheda Attributi dell'archivio utenti AWS Cognito

Fare clic su Salva per salvare l'attributo.

3. Prova di connessione

Visita il tuo URL della pagina di accesso.
Vai su Provider di identità scheda.
Cerca la tua app, fai clic sui tre punti nel menu Azioni e seleziona Test di connessione rispetto all'Identity Provider (IDP) configurato.

Dopo aver immesso credenziali AWS Cognito valide (credenziali dell'utente assegnate all'app creata in AWS Cognito), verrà visualizzata una finestra pop-up, come mostrato nella schermata seguente.

La configurazione di AWS Cognito come IDP in miniOrange è quindi completata con successo.

Nota:

Puoi seguire questa guida, se vuoi configurare SAML/WS-FED, OAuth/OIDC, J.W.T., Raggio eccetera

Configurare la mappatura degli attributi

Vai su Provider di identità.
Fare clic sui tre punti nel menu Azioni e selezionare Mappatura degli attributi rispetto all'Identity Provider (IDP) configurato.

AWS Cognito Single Sign-On SSO Seleziona e configura la mappatura degli attributi

Tipo di attributo - UTENTE
Tipo di attributo - ESTERNO

Informazioni sulle mappe, come email e username, durante la creazione utente Just-In-Time (JIT). Gli attributi Email e Username sono necessari per creare il profilo utente.

Clicca sul + Aggiungi attributo pulsante per aggiungere i campi attributo.

Attributo USER della mappa SSO Single Sign-On di AWS Cognito

Controlla gli attributi nella finestra Test Connection del passaggio precedente. Scegli qualsiasi nome di attributo che vuoi inviare alla tua applicazione in Attribute Name sent to SP.
Immettere i valori degli attributi provenienti da IdP nel campo Nome attributo da IdP sul lato Xecurify.

Le mappature ESTERNE aiutano a modificare i nomi degli attributi in arrivo prima di inviarli alle app, garantendo che i dati siano nel formato corretto.

Clicca sul + Aggiungi attributo pulsante per aggiungere i campi attributo.

AWS Cognito Single Sign-On SSO Map Attributo ESTERNO

Controlla gli attributi nella finestra di connessione di prova dall'ultimo passaggio. Inserisci i nomi degli attributi (qualsiasi nome) che vuoi inviare alla tua applicazione in Attribute Name sent to SP.
Immettere il valore degli attributi provenienti da IdP nel campo Nome attributo da IdP sul lato Xecurify.

Configurare più IDP:

Puoi seguire questa guida, se lo desidera configurare più IDP (Fornitori di identità) e dare agli utenti la possibilità di selezionare l'IDP di loro scelta per l'autenticazione.

Troubleshooting

Questo messaggio di errore viene visualizzato quando si tenta di eseguire l'accesso SSO a un'applicazione configurata per utilizzare AWS Cognito come IdP esterno mediante Single Sign-On (SSO) basato su OAuth.

Errore - redirect_uri non valido

Questo errore si verifica quando l'URI di reindirizzamento specificato nella richiesta di autenticazione non corrisponde a quello registrato in Cognito.

Verificare che sia configurato l'URI di reindirizzamento corretto in Impostazioni client app nella console AWS Cognito.
Assicurati che l'URL di reindirizzamento nel tuo client OAuth corrisponda esattamente a quello in Cognito, inclusa la distinzione tra maiuscole e minuscole.

Errore - invalid_client

Questo errore si verifica in genere quando l'ID client o il segreto client nella richiesta OAuth non sono corretti.

Ricontrolla il ID cliente and Segreto valori in Clienti dell'app sezione del tuo Pool di utenti Cognito e assicurati che vengano utilizzati correttamente nelle richieste OAuth della tua applicazione.

Errore - Mancano gli ambiti richiesti

Se la richiesta OAuth non dispone degli ambiti necessari (ad esempio, 'openid', 'email' o 'profile'), AWS Cognito genererà questo errore.

Vai su Impostazioni client app nella Pool di utenti Cognito e assicurarsi che gli ambiti di autenticazione pertinenti siano abilitati.
Inoltre, verifica che gli ambiti siano inclusi nella richiesta di autorizzazione OAuth.

Errore - invalid_grant

Questo errore si verifica spesso se c'è un problema con il codice di autorizzazione o con il token di aggiornamento utilizzato per ottenere i token.

Ciò può accadere se il codice di autorizzazione è scaduto o è già stato utilizzato.
Assicurati che i tuoi codici di autorizzazione siano utilizzati correttamente e non siano scaduti. Inoltre, controlla se il token di aggiornamento è scaduto.

Errore - unauthorized_client

Ciò significa che al client OAuth (applicazione) non è consentito utilizzare il flusso specifico (ad esempio, codice di autorizzazione, credenziali implicite o client).

Vai su Impostazioni client app nella console AWS Cognito e confermare che siano abilitati i tipi di concessione corretti, ad esempio Concessione del codice di autorizzazione, Concessione implicita, ecc., a seconda del flusso della tua applicazione.

Errore - access_denied

Ciò si verifica quando l'utente nega il consenso o l'app client non ha l'autorizzazione per richiedere ambiti specifici.

Assicurarsi che l'utente abbia fornito il consenso appropriato per gli ambiti richiesti.
Inoltre, assicurarsi che gli ambiti richiesti siano disponibili e autorizzati nell' Impostazioni client app.

Contenuti