创建私有人力（OIDC IdP）

要在创建专用工作人员（控制台）后查看工作人员门户 URL：

1. 从打开 SageMaker 控制台https://console.aws.amazon.com/sagemaker/.

2. 在导航窗格中，选择 Labeling workforces (标记人力)。

3. 选择 Private (私有) 选项卡。

4. In私营劳动力汇总您会看到标记门户登录 URL. 这是您的工作人员门户 URL。

要验证您的 OIDC IdP 授权响应，请执行以下操作：

1. 使用配置如下的 URI 获取授权码：

   {AUTHORIZE ENDPOINT}?client_id={CLIENT ID}&redirect_uri={REDIRECT URI}&scope={SCOPE}&response_type=code
   

   1. Replace{AUTHORIZE ENDPOINT}与 OIDC IdP 的授权终端节点。

   2. Replace{CLIENT ID}使用您的 OAuth 客户端的客户端 ID。

   3. Replace{REDIRECT URI}与工作人员门户 URL 一起使用。如果它尚未存在，则必须添加/oauth2/idpresponse到 URL 的末尾。

   4. 如果您有自定义作用域，请使用它来替换{SCOPE}. 如果您没有自定义作用域，请将{SCOPE}替换为openid.

   以下是进行上述修改后的 URI 示例：

   https://example.com/authorize?client_id=f490a907-9bf1-4471-97aa-6bfd159f81ac&redirect_uri=https%3A%2F%2F%2Fexample.labeling.sagemaker.aws%2Foauth2%2Fidpresponse&response_type=code&scope=openid
   

2. 将步骤 1 中修改的 URI 复制并粘贴到浏览器中，然后在键盘上按 Enter 键。

3. 使用 IdP 进行身份验证。

4. 复制 URI 中的验证代码查询参数。这个参数存在与code=. 以下是响应具体形式的示例。在此示例中，复制code=MCNYDB...以及其后的一切.

   https://example.labeling.sagemaker.aws/oauth2/idpresponse?code=MCNYDB....

5. 在进行下面列出的所需修改后，打开终端并输入以下命令：

   $ curl --request POST \
     --url '{TOKEN ENDPOINT}' \
     --header 'content-type: application/x-www-form-urlencoded' \
     --data grant_type=authorization_code \
     --data 'client_id={CLIENT ID}' \
     --data client_secret={CLIENT SECRET} \
     --data code={CODE} \
     --data 'redirect_uri={REDIRECT URI}'

   1. Replace{TOKEN ENDPOINT}与 OIDC IdP 的令牌终端节点。

   2. Replace{CLIENT ID}使用您的 OAuth 客户端的客户端 ID。

   3. Replace{CLIENT SECRET}来自您的 OAuth 客户端的客户端密钥。

   4. Replace{CODE}使用您在步骤 4 中复制的身份验证代码查询参数。

   5. Replace{REDIRECT URI}与工作人员门户 URL 一起使用。

   以下是进行上述修改后 cURL 请求的示例：

   $ curl --request POST \
     --url 'https://example.com/token' \
     --header 'content-type: application/x-www-form-urlencoded' \
     --data grant_type=authorization_code \
     --data 'client_id=f490a907-9bf1-4471-97aa-6bfd159f81ac' \
     --data client_secret=client-secret \
     --data code=MCNYDB... \
     --data 'redirect_uri=https://example.labeling.sagemaker.aws/oauth2/idpresponse'

6. 此步骤取决于access_token您的 IdP 返回，纯文本访问令牌或 JWT 访问令牌。

   • 如果您的 IdP 不支持 JWT 访问令牌，请参阅access_token可能是纯文本（例如 UUID）。您看到的响应可能类似于以下内容。在这种情况下，请转到步骤 7。

     {
       "access_token":"179c144b-fccb-4d96-a28f-eea060f39c13",
       "token_type":"Bearer",
       "expires_in":3600,
       "refresh_token":"ef43e52e-9b4f-410c-8d4c-d5c5ee57631a",
       "scope":"openid"
     }

   • 如果您的 IdP 支持 JWT 访问令牌，则第 5 步应以 JWT 格式生成访问令牌。例如，响应可能如下所示：

     {
         "access_token":"eyJh...JV_adQssw5c",
         "refresh_token":"i6mapTIAVSp2oJkgUnCACKKfZxt_H5MBLiqcybBBd04",
         "refresh_token_expires_in":6327,
         "scope":"openid",
         "id_token":"eyJ0eXAiOiJK9...-rDaQzUHl6cQQWNiDpWOl_lxXjQEvQ"
     }

     复制智威汤逊并对其进行解码。您可以使用 python 脚本或第三方网站对其进行解码。例如，您可以转到网站https://jwt.io/并将 JWT 粘贴到ENCODE框来对其进行解码。

     确保解码的响应包含以下内容：

     • 这些区域有：必需SageMaker 声明在向 Ground Truth 和亚马逊 A2I 发送必填和可选索赔. 如果没有，则必须重新配置 OIDC IdP 以包含这些声明。

     • 这些区域有：发布者您在设置 IdP 人力时指定的。

7. 在终端中，在进行下面列出的所需修改后，输入以下命令：

   curl -X POST -H 'Authorization: Bearer {ACCESS TOKEN}' -d '' -k -v {USERINFO ENDPOINT}
   

   1. Replace{USERINFO ENDPOINT}与您的 OIDC IdP 的用户信息终端节点。

   2. Replace{ACCESS TOKEN}与您在步骤 7 中收到的响应中的访问令牌。这是"access_token"参数。

   以下是进行上述修改后 cURL 请求的示例：

    curl -X POST -H 'Authorization: Bearer eyJ0eX...' -d '' -k -v https://example.com/userinfo

8. 对上述过程中最后一步的响应可能类似于以下代码块。

   如果access_token返回的是纯文本，则必须验证此响应是否包含所需的信息。在此情况下，响应必须包含必需SageMaker 声明在向 Ground Truth 和亚马逊 A2I 发送必填和可选索赔. 例如，sagemaker-groups 和 sagamaker-name。

   {
       "sub":"122",
       "exp":"10000",
       "sagemaker-groups":["group1","group2"]
       "sagemaker-name":"name",
       "sagemaker-sub":"122",
       "sagemaker-client_id":"123456"
   }