创建私有人力 （OIDC IdP）

在创建私有人力后查看工作人员门户 URL（控制台）：

1. 在 SageMakerhttps://console.aws.amazon.com/sagemaker/ 打开 控制台。

2. 在导航窗格中，选择 Labeling workforces (标记人力)。

3. 选择 Private (私有) 选项卡。

4. 在 Private workforce summary （私有人力摘要） 中，您将看到 Labeling Portal sign-in URL （标记门户登录 URL）。这是您的工作线程门户 URL。

验证 OIDC IdP 授权响应：

1. 使用配置的 URI 获取授权代码，如下所示：

   {AUTHORIZE ENDPOINT}?client_id={CLIENT ID}&redirect_uri={REDIRECT URI}&scope={SCOPE}&response_type=code
   

   1. Replace {授权终端节点} 具有 OIDC IdP 的授权终端节点的 。

   2. 将 {CLIENT ID} 替换为 OAuth 客户端中的客户端 ID。

   3. Replace {重定向 URI} 工作线程门户 URL。如果它尚不存在，则必须/oauth2/idpresponse将 添加到 URL 的末尾。

   4. 如果您有自定义范围，请使用它来替换 {SCOPE}。如果您没有自定义范围，请将 {SCOPE} 替换为 openid。

   以下是在进行上述修改后 URI 的示例：

   https://example.com/authorize?client_id=f490a907-9bf1-4471-97aa-6bfd159f81ac&redirect_uri=https%3A%2F%2F%2Fexample.labeling.sagemaker.aws%2Foauth2%2Fidpresponse&response_type=code&scope=openid
   

2. 将步骤 1 中修改后的 URI 复制并粘贴到浏览器中，然后按键盘上的 Enter。

3. 使用您的 IdP 进行身份验证。

4. 复制 URI 中的身份验证代码查询参数。此参数适用于 code=。以下是响应可能显示的示例。在此示例中，复制 code=MCNYDB... 以及之后的所有内容。

   https://example.labeling.sagemaker.aws/oauth2/idpresponse?code=MCNYDB....

5. 打开终端，并在进行下面列出的必要修改后输入以下命令：

   $ curl --request POST \
     --url '{TOKEN ENDPOINT}' \
     --header 'content-type: application/x-www-form-urlencoded' \
     --data grant_type=authorization_code \
     --data 'client_id={CLIENT ID}' \
     --data client_secret={CLIENT SECRET} \
     --data code={CODE} \
     --data 'redirect_uri={REDIRECT URI}'

   1. 将 {TOKEN ENDPOINT} 替换为 OIDC IdP 的令牌终端节点。

   2. 将 {CLIENT ID} 替换为 OAuth 客户端中的客户端 ID。

   3. 将 {CLIENT SECRET} 替换为 OAuth 客户端中的客户端密钥。

   4. 将 {CODE} 替换为您在步骤 4 中复制的身份验证代码查询参数。

   5. Replace {重定向 URI} 工作线程门户 URL。

   以下是进行上述修改后 cURL 请求的示例：

   $ curl --request POST \
     --url 'https://example.com/token' \
     --header 'content-type: application/x-www-form-urlencoded' \
     --data grant_type=authorization_code \
     --data 'client_id=f490a907-9bf1-4471-97aa-6bfd159f81ac' \
     --data client_secret=client-secret \
     --data code=MCNYDB... \
     --data 'redirect_uri=https://example.labeling.sagemaker.aws/oauth2/idpresponse'

6. 此步骤取决于您的 access_token IdP 返回的类型、纯文本访问令牌或 JWT 访问令牌。

   • 如果您的 IdP 不支持 JWT 访问令牌，则 access_token 可能是纯文本（例如，UUID）。您看到的响应可能类似于以下内容。在这种情况下，请移至步骤 7。

     {
       "access_token":"179c144b-fccb-4d96-a28f-eea060f39c13",
       "token_type":"Bearer",
       "expires_in":3600,
       "refresh_token":"ef43e52e-9b4f-410c-8d4c-d5c5ee57631a",
       "scope":"openid"
     }

   • 如果您的 IdP 支持 JWT 访问令牌，则步骤 5 应生成 JWT 格式的访问令牌。例如，响应可能类似于以下内容：

     {
         "access_token":"eyJh...JV_adQssw5c",
         "refresh_token":"i6mapTIAVSp2oJkgUnCACKKfZxt_H5MBLiqcybBBd04",
         "refresh_token_expires_in":6327,
         "scope":"openid",
         "id_token":"eyJ0eXAiOiJK9...-rDaQzUHl6cQQWNiDpWOl_lxXjQEvQ"
     }

     复制 JWT 并将其解码。您可以使用 python 脚本或第三方网站对其进行解码。例如，您可以转到 网站https://jwt.io/，并将 JWT 粘贴到 Encoded （编码） 框中对其进行解码。

     确保解码的响应包含以下内容：

     • 在 中找到的表中的必需SageMaker声明将必需声明和可选声明发送到 Ground Truth 和 Amazon A2I。如果没有，您必须重新配置 OIDC IdP 以包含这些声明。

     • 您在设置 IdP 人力时指定的颁发者。

7. 在终端中，在进行下面列出的必要修改后，输入以下命令：

   curl -X POST -H 'Authorization: Bearer {ACCESS TOKEN}' -d '' -k -v {USERINFO ENDPOINT}
   

   1. 将 {USERINFO ENDPOINT} 替换为您的 OIDC IdP 的用户信息终端节点。

   2. 将 {ACCESS TOKEN} 替换为您在步骤 7 中收到的响应中的访问令牌。这是 "access_token" 参数的条目。

   以下是进行上述修改后 cURL 请求的示例：

    curl -X POST -H 'Authorization: Bearer eyJ0eX...' -d '' -k -v https://example.com/userinfo

8. 对上述过程中的最后一步的响应可能类似于以下代码块。

   如果步骤 6 中access_token返回的 是纯文本，则必须验证此响应是否包含所需信息。在这种情况下，响应必须在位于 的表中包含 Required SageMaker 声明将必需声明和可选声明发送到 Ground Truth 和 Amazon A2I。例如，sagemaker-groups、sagamaker-name。

   {
       "sub":"122",
       "exp":"10000",
       "sagemaker-groups":["group1","group2"]
       "sagamaker-name":"name",
       "sagemkaer-sub":"122",
       "sagemaker-client_id":"123456"
   }