将使用 SAML 身份提供商的登录添加到用户池（可选）

在您的用户池中配置 SAML 2.0 身份提供商

1. 转到 Amazon Cognito 控制台。如果出现提示，请输入 Amazon 凭证。

2. 选择 User Pools（用户池）。

3. 从列表中选择一个现有用户池，或创建一个用户池。

4. 选择 Sign-in experience（登录体验）选项卡。找到 Federated sign-in（联合登录），然后选择 Add an identity provider（添加身份提供商）。

5. 选择 SAML 社交身份提供商。

6. 输入以逗号分隔的 Identifiers（标识符）。标识符将告知 Amazon Cognito 应该检查用户登录时输入的电子邮件地址，然后将它们引导到与其域名对应的提供商。

7. 如果您希望 Amazon Cognito 在用户注销时向您的提供商发送已签名的注销请求，请选择 Add sign-out flow（添加注销流程）。您必须配置 SAML 2.0 身份提供商以向配置托管 UI 时创建的 https://<your Amazon Cognito domain>/saml2/logout 端点发送注销响应。此 saml2/logout 端点使用 POST 绑定。

   注意

   如果选择此选项，并且您的 SAML 身份提供商需要已签名的注销请求，则您还需要为您的 SAML IdP 配置 Amazon Cognito 提供的签名证书。

   SAML IdP 将处理已签名的注销请求并从 Amazon Cognito 会话中注销您的用户。

8. 选择 Metadata document source（元数据文档源）。如果您的身份提供商在公有 URL 上提供 SAML 元数据，则可以选择 Metadata document URL（元数据文档 URL），然后输入该公有 URL。否则，请选择 Upload metadata document（上载元数据文档），然后选择您之前从提供商下载的元数据文件。

   注意

   我们建议您输入元数据文档 URL（如果您的提供商具有公有端点），而不是上载文件，因为这将允许 Amazon Cognito 自动刷新元数据。通常，元数据刷新操作每 6 小时执行一次或在元数据过期前执行（以时间较早者为准）。

9. 选择 Map attributes between your SAML provider and your app（在 SAML 提供商和应用程序之间映射属性）将 SAML 提供程序属性映射到用户池中的用户配置文件。在属性映射中包含用户池必需属性。

   例如，当您选择 User pool attribute（用户池属性）email 时，按照您的身份提供商提供的 SAML 断言中显示的内容，输入 SAML 属性名称。您的身份提供商可能会提供示例 SAML 断言以供参考。一些身份提供商使用简单名称（如 email），另一些则使用以下示例 URL 格式的属性名称：

   http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress

10. 选择 Create（创建）。