Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Comprendre les revendications relatives aux jetons

Lorsque vous appelez l'GetWebIdentityTokenAPI, AWS Security Token Service renvoie un jeton Web JSON (JWT) signé qui contient un ensemble de revendications représentant l'identité du principal IAM. Ces jetons sont conformes à la norme RFC 7519. Comprendre la structure et le contenu de ces jetons vous permet de mettre en œuvre des flux d'authentification sécurisés, de configurer les validations de revendications appropriées dans les services externes et d'utiliser efficacement les revendications personnalisées pour un contrôle d'accès précis.

Le JWT inclut des déclarations OpenID Connect (OIDC) standard telles que sujet (« sub »), audience (« aud »), émetteur (« iss ») afin de faciliter l'interopérabilité entre différents services externes. AWS STS remplit le jeton avec des revendications AWS spécifiques à l'identité (telles que les balises AWS Account ID et Principal) et des revendications contextuelles de session (comme les ARN d'instance EC2), le cas échéant. Vous pouvez également ajouter des revendications personnalisées au jeton en les transmettant sous forme de balises de demande à l'GetWebIdentityTokenAPI. Les revendications AWS spécifiques à l'identité, les revendications de contexte de session et les revendications personnalisées sont imbriquées dans l'espace de noms « https://sts.amazonaws.com/ » du jeton.

Reportez-vous à l'exemple de jeton ci-dessous pour obtenir la liste des réclamations incluses dans le jeton. Veuillez noter que toutes ces revendications peuvent ne pas être présentes simultanément dans un jeton.

{
  "iss": "https://abc123-def456-ghi789-jkl012.tokens.sts.global.api.aws",
  "aud": "https://api.example.com",
  "sub": "arn:aws:iam::123456789012:role/DataProcessingRole",
  "iat": 1700000000,
  "exp": 1700000900,
  "jti": "xyz123-def456-ghi789-jkl012",
  "https://sts.amazonaws.com/": {
    "aws_account": "123456789012",
    "source_region": "us-east-1",
    "org_id": "o-abc1234567",
    "ou_path": "o-a1b2c3d4e5/r-ab12/ou-ab12-11111111/ou-ab12-22222222/",
    "principal_tags": {
      "environment": "production",
      "team": "data-engineering",
      "cost-center": "engineering"
    },
    "lambda_source_function_arn": "arn:aws:lambda:us-east-1:123456789012:function:process-data",
    "request_tags": {
        "job-id": "job-2024-001",
        "priority": "high",
        "data-classification": "sensitive"
    }
  }
}

Réclamations standard

Les revendications OIDC standard présentes dans les jetons facilitent l'interopérabilité avec un large éventail de services externes. Ces affirmations peuvent être validées à l'aide de la plupart des bibliothèques JWT.

Réclamations personnalisées

En plus des revendications OIDC standard, AWS STS ajoute des revendications concernant l'identité et le contexte de session, le cas échéant. Vous pouvez également ajouter vos propres revendications au jeton en les transmettant sous forme de balises de demande. Les revendications personnalisées sont imbriquées dans l'espace de https://sts.amazonaws.com/ noms.

AWS demandes d'identité

Ces réclamations fournissent des informations détaillées sur votre AWS compte, la structure de votre organisation et le responsable IAM.

Déclarations relatives au contexte de session

Ces allégations fournissent des informations sur l'environnement informatique et la session d'où provient la demande de jeton. AWS STS inclut automatiquement ces réclamations, le cas échéant, en fonction du contexte de session du principal demandeur.

Tags de demande

Vous pouvez ajouter des revendications personnalisées aux jetons en spécifiant des balises dans la demande GetWebIdentityToken d'API. Ces revendications apparaissent dans le champ request_tags du jeton et vous permettent de transmettre des informations spécifiques que les services externes peuvent utiliser pour prendre des décisions d'autorisation précises. Vous pouvez spécifier jusqu'à 50 balises par demande.

Exemple de demande :

response = sts_client.get_web_identity_token(
    Audience=['https://api.example.com'],
    SigningAlgorithm='ES384',
    Tags=[
        {'Key': 'team', 'Value': 'data-engineering'},
        {'Key': 'cost-center', 'Value': 'analytics'},
        {'Key': 'environment', 'Value': 'production'}
    ]
)

Réclamations résultantes sous forme de jeton :

{
  "request_tags": {
    "team": "data-engineering",
    "cost-center": "analytics",
    "environment": "production"
  }
}