View a markdown version of this page

Puntos de conexión de los proveedores de identidades y de la relación de confianza - Amazon Cognito
Emisor de OIDC

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Puntos de conexión de los proveedores de identidades y de la relación de confianza

Los puntos de enlace de federación son puntos de enlace de grupos de usuarios que cumplen un propósito para uno de los estándares de autenticación utilizados por los grupos de usuarios. Contienen direcciones URL de ACS de SAML, puntos de conexión de detección de OIDC y puntos de conexión de servicio para roles de grupos de usuarios, tanto de proveedor de identidades como de la relación de confianza. Los puntos finales de la federación inician los flujos de autenticación, reciben una prueba de IdPs autenticación y emiten tokens a los clientes. Interactúan con IdPs las aplicaciones y los administradores, pero no con los usuarios.

Los temas que se abordan en la páginas completas posteriores a esta página contienen detalles sobre los puntos de conexión de los proveedores OAuth 2.0 y OIDC que pasan a estar disponibles cuando añade un dominio a un grupo de usuarios. En el siguiente gráfico, se muestra una lista de todos los puntos de conexión de federación.

Algunos ejemplos de dominios de grupos de usuarios:

  1. Dominio de prefijo: mydomain.auth.us-east-1.amazoncognito.com

  2. Dominio personalizado: auth.example.com

Puntos de conexión de federación de grupo de usuarios
URL del punto de conexión Description (Descripción) Cómo se accede
https://Your user pool domain/oauth2/authorize Redirige un usuario al inicio de sesión administrado o a iniciar sesión con el IdP. Se invoca en el navegador del cliente para iniciar la autenticación del usuario. Consulte Autorizar punto de conexión.
https://Your user pool domain/oauth2/token Devuelve los tokens en función de un código de autorización o de una solicitud de credenciales del cliente. La aplicación la solicita para recuperar los tokens. Consulte Punto de conexión de token.
https://Your user pool domain/oauth2/userInfo Devuelve los atributos de usuario en función de los alcances y la identidad del usuario de OAuth 2.0 en un token de acceso. La aplicación la solicita para recuperar el perfil de usuario. Consulte El punto de conexión userInfo.
https://Your user pool domain/oauth2/revoke Revoca un token de actualización y los tokens de acceso asociados. La aplicación la solicita para revocar un token. Consulte Revocación de puntos de conexión.
https://cognito-idp.Regionyour user pool ID.amazonaws.com/ /.well- -configuración known/openid Un directorio de la arquitectura OIDC de su grupo de usuarios. 1 La aplicación la solicita para localizar los metadatos del emisor del grupo de usuarios.
https://cognito-idp.Regionyour user pool ID.amazonaws.com/ /.well-.json known/jwks Claves públicas que puede usar para validar los tokens de Amazon Cognito. 2 La aplicación la solicita para verificar los JWT.
https://Your user pool domain/oauth2/idpresponse Los proveedores de identidades social deben redirigir a los usuarios a este punto de conexión con un código de autorización. Amazon Cognito canjea el código por un token cuando autentica al usuario federado. Se redirigió desde el inicio de sesión del IdP de OIDC como URL de devolución de llamada del cliente de IdP.
https://Your user pool domain/saml2/idpresponse La URL de Assertion Consumer Response (ACS) para la integración con los proveedores de identidades de SAML 2.0. Redirigido desde el IdP de SAML 2.0 como URL de ACS o punto de origen para el inicio de sesión. IdP-initiated 3
https:///Your user pool domainsaml2/logout La URL de cierre de sesión único (SLO) para la integración con los proveedores de identidades SAML 2.0. Se redirige desde el IdP SAML 2.0 como URL de cierre de sesión único (SLO). Solo acepta enlaces de tipo POST.

1 El documento openid-configuration puede actualizarse en cualquier momento con información adicional que permita que el punto de conexión cumpla con las especificaciones de OIDC y OAuth2.

2 El archivo jwks.json JSON se puede actualizar en cualquier momento con nuevas claves públicas de firma de fichas.

3 Para obtener más información sobre el inicio de sesión con IdP-initiated SAML, consulte. Implemente el inicio de IdP-initiated sesión mediante SAML

Para obtener más información acerca de los estándares OpenID Connect y OAuth, consulte OpenID Connect 1.0 y OAuth 2.0.

Grupos de usuarios de Amazon Cognito como emisor de OIDC

Los grupos de usuarios de Amazon Cognito funcionan como proveedores de identidad de OpenID Connect (OIDC) y actúan como un emisor que las bibliotecas de aplicaciones pueden utilizar para la federación de OIDC. Las bibliotecas de aplicaciones para la federación de OIDC pueden hacer referencia a las dos rutas diferentes, tal como se explica a continuación, como punto final de detección automática. Este punto final proporciona acceso al conjunto de claves web JSON (JWKS) /.well-known/jwks.json y a los metadatos de descubrimiento de OIDC en/.well-known/openid-configuration, donde las aplicaciones pueden descubrir los puntos finales de autorización, token y UserInfo.

Las aplicaciones que admiten la detección automática del OIDC pueden configurarse automáticamente consultando estos puntos finales conocidos. En el caso de las aplicaciones que no admiten la detección automática, puede codificar la aplicación con los puntos finales específicos del OIDC que se enumeran en la sección anterior.

Tipos de emisores de grupos de usuarios
Emisor original

La configuración de emisor predeterminada actual para los grupos de usuarios. La URL del emisor está alojada en la región del grupo de usuarios y proporciona los puntos de conexión OIDC específicos de esa región.

Los emisores originales adoptan el formato. https://cognito-idp.us-east-1.amazonaws.com/us-east-1_EXAMPLE

Emisor actualizado

Se recomienda para todos los grupos de usuarios, incluida la replicación multirregional. Los emisores actualizados alojan el mismo contenido de JWKS en varias regiones, lo que mejora la resiliencia y la eficiencia.

Los emisores actualizados adoptan el formatohttps://issuer-cognito-idp.us-east-1.amazonaws.com/us-east-1_EXAMPLE, que Region es el principal Región de AWS de su grupo de usuarios.

nota

El tipo de emisor actualizado no es compatible con la integración nativa de Amazon Cognito para la autenticación authenticate-cognito de Application Load Balancer (la acción). Para usar un emisor actualizado con un Application Load Balancer, configure la integración genérica de OIDC (la acción) en su lugar y proporcione authenticate-oidc los puntos finales de OIDC de su grupo de usuarios. Para obtener más información, consulte Autenticar usuarios mediante un Equilibrador de carga de aplicación.

Prepárese para los cambios en el documento de descubrimiento

El openid-configuration documento es un documento de descubrimiento estándar de OpenID Connect. Amazon Cognito puede añadirle entradas de metadatos a lo largo del tiempo para que cumpla con las especificaciones de OpenID Connect y OAuth 2.0 y para mejorar la compatibilidad con las bibliotecas cliente de OIDC. Estas incorporaciones son compatibles con versiones anteriores: Amazon Cognito añade nuevos miembros, pero no cambia el nombre, el tipo de miembros que la aplicación ya lee ni los elimina. Escriba a su cliente para que siga funcionando a medida que el documento vaya creciendo.

Ignora a los miembros que no reconozcas

Como exige la especificación OpenID Connect Discovery, trate los miembros de metadatos que no comprenda como opcionales. No rechace, falle ni arroje un error cuando el documento contenga un miembro que su aplicación no utilice.

No codifique de forma rígida el conjunto ni el orden de los miembros

Analice el documento como un objeto JSON general en lugar de como una estructura fija. Los miembros pueden aparecer en cualquier orden y el conjunto de miembros puede cambiar de una solicitud a otra y a lo largo del tiempo. Diríjase a cada miembro por su nombre y léalos según el tipo que la especificación defina para ellos.

Compare los clientes estrictos con el documento actual

Si su cliente valida estrictamente el documento de detección, busque el documento actual en el /.well-known/openid-configuration punto final de su grupo de usuarios y confirme que su cliente lo acepta antes de que dependa de un conjunto específico de miembros.

Los tokens de Amazon Cognito siguen el mismo enfoque aditivo y compatible con versiones posteriores. Para obtener más información sobre cómo analizar las afirmaciones en un identificador o token de acceso, consulte. Analice los tokens del grupo de usuarios de forma segura

Temas