Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Föderieren AWS Identitäten für externe Dienste
Der IAM-Identitätsverbund für ausgehende Verbindungen ermöglicht Ihren AWS Workloads den sicheren Zugriff auf externe Dienste, ohne dass langfristige Anmeldeinformationen gespeichert werden müssen. Ihre AWS Workloads können kurzlebige JSON Web Tokens (JWTs) vom AWS Security Token Service () anfordern, indem Sie die API aufrufen.AWS STS GetWebIdentityToken Diese Token sind kryptografisch signiert, öffentlich verifizierbar und enthalten einen umfassenden Satz von Ansprüchen, die die Identität Ihres AWS Workloads gegenüber externen Diensten belegen. Sie können diese Token mit einer Vielzahl von Cloud-Drittanbietern, SaaS-Plattformen und selbst gehosteten Anwendungen verwenden. Externe Dienste überprüfen die Echtheit des AWS Tokens mithilfe der an bekannten Endpunkten veröffentlichten Bestätigungsschlüssel und verwenden die Informationen in den Tokens, um Authentifizierungs- und Autorisierungsentscheidungen zu treffen.
Durch den ausgehenden Identitätsverbund entfällt die Notwendigkeit, langfristige Anmeldeinformationen wie API-Schlüssel oder Passwörter in Ihrem Anwendungscode oder in Umgebungsvariablen zu speichern, wodurch Ihre Sicherheitslage verbessert wird. Mithilfe von IAM-Richtlinien können Sie den Zugriff auf die Token-Generierung kontrollieren und Token-Eigenschaften wie Signaturalgorithmen, zulässige Zielgruppen und Dauer durchsetzen. Alle Token-Anfragen werden protokolliert AWS , sodass vollständige Prüfprotokolle für die Sicherheitsüberwachung und Compliance-Berichterstattung zur Verfügung stehen. Sie können Token auch mit Tags anpassen, die als benutzerdefinierte Ansprüche angezeigt werden, sodass externe Dienste eine feinkörnige, attributbasierte Zugriffskontrolle implementieren können.
Anweisungen zum Einrichten des ausgehenden Verbundes finden Sie unter. Erste Schritte mit dem ausgehenden Identitätsverbund Weitere Hinweise zum Inhalt von Tokens finden Sie unterToken-Ansprüche verstehen. Anweisungen zur Steuerung, welche Workloads Token anfordern können, finden Sie unterZugriffskontrolle mit IAM-Richtlinien.
Häufige Anwendungsfälle
Mithilfe des ausgehenden Identitätsverbunds können Ihre AWS Workloads auf sichere Weise:
-
Greifen Sie auf Ressourcen und Dienste externer Cloud-Anbieter zu. Beispielsweise kann eine Lambda-Funktion, die Daten verarbeitet, Ergebnisse in den Speicherdienst eines externen Cloud-Anbieters schreiben oder dessen Datenbank abfragen.
-
Integrieren Sie externe Software-as-a-Service (SaaS) -Anbieter für Analysen, Datenverarbeitung, Überwachung usw. Ihre Lambda-Funktionen können beispielsweise Metriken an Observability-Plattformen senden.
-
Authentifizieren Sie sich mit Ihren eigenen Anwendungen, die auf externen Cloud-Anbietern oder lokalen Rechenzentren gehostet werden AWS, und ermöglichen Sie so sichere Hybrid- und Multi-Cloud-Architekturen. Beispielsweise können Ihre AWS Workloads mit containerisierten Anwendungen interagieren, die in Ihrem lokalen Kubernetes-Cluster ausgeführt werden.
So funktioniert’s
-
Die Lambda-Funktion ruft die GetWebIdentityToken API auf, um ein JSON Web Token (JWT) vom AWS Security Token Service () anzufordern.AWS STS
-
AWS STS validiert die Anfrage und gibt ein signiertes JWT an die Lambda-Funktion zurück.
-
Die Lambda-Funktion sendet das JWT an den externen Dienst.
-
Der externe Dienst extrahiert die Aussteller-URL aus dem Token, überprüft, ob sie mit einem bekannten vertrauenswürdigen Aussteller übereinstimmt, und ruft die Bestätigungsschlüssel und Metadaten vom AWS OIDC-Discovery-Endpunkt ab.
-
Der externe Dienst überprüft anhand der Bestätigungsschlüssel die Signatur des Tokens und validiert Angaben wie Ablaufzeit, Betreff und Zielgruppe.
-
Nach erfolgreicher Validierung gewährt der externe Dienst Zugriff auf die Lambda-Funktion.
