创建私有人力（OIDC IdP）

要在创建私人员工队伍后查看员工门户网址 (控制台)：

1. 打开 SageMaker 控制台https://console.aws.amazon.com/sagemaker/.

2. 在导航窗格中，选择 Labeling workforces (标记人力)。

3. 选择 Private (私有) 选项卡。

4. In私人劳动力总结你会看到为门户登录 URL 添加标记. 这是你的工作人员门户网址。

要验证 OIDC IdP 授权响应：

1. 使用如下配置的 URI 获取授权码：

   {AUTHORIZE ENDPOINT}?client_id={CLIENT ID}&redirect_uri={REDIRECT URI}&scope={SCOPE}&response_type=code
   

   1. Replace{AUTHORIZE ENDPOINT}使用 OIDC IdP 的授权终端节点。

   2. Replace{CLIENT ID}使用 OAuth 客户端的客户端 ID。

   3. Replace{REDIRECT URI}使用工作人员门户网址。如果尚未存在，则必须添加/oauth2/idpresponse到 URL 的末尾。

   4. 如果你有自定义范围，请用它来替换{SCOPE}. 如果您没有自定义作用域，请替换{SCOPE}和openid.

   以下是进行上述修改后 URI 的示例：

   https://example.com/authorize?client_id=f490a907-9bf1-4471-97aa-6bfd159f81ac&redirect_uri=https%3A%2F%2F%2Fexample.labeling.sagemaker.aws%2Foauth2%2Fidpresponse&response_type=code&scope=openid
   

2. 将步骤 1 中修改的 URI 复制并粘贴到浏览器中，然后按键盘上的 Enter 键。

3. 使用 IdP 进行身份验证。

4. 在 URI 中复制身份验证码查询参数。这个参数存在code=. 以下是响应具体形式的示例。在此示例中，复制code=MCNYDB...以及之后的一切。

   https://example.labeling.sagemaker.aws/oauth2/idpresponse?code=MCNYDB....

5. 在进行下面列出的必要修改后，打开终端并输入以下命令：

   curl --request POST \
     --url '{TOKEN ENDPOINT}' \
     --header 'content-type: application/x-www-form-urlencoded' \
     --data grant_type=authorization_code \
     --data 'client_id={CLIENT ID}' \
     --data client_secret={CLIENT SECRET} \
     --data code={CODE} \
     --data 'redirect_uri={REDIRECT URI}'

   1. Replace{TOKEN ENDPOINT}使用 OIDC IdP 的令牌终端节点。

   2. Replace{CLIENT ID}使用 OAuth 客户端的客户端 ID。

   3. Replace{CLIENT SECRET}使用 OAuth 客户端提供的客户机密。

   4. Replace{CODE}使用您在步骤 4 中复制的身份验证码查询参数。

   5. Replace{REDIRECT URI}使用工作人员门户网址。

   以下是进行上述修改后 cURL 请求的示例：

   curl --request POST \
     --url 'https://example.com/token' \
     --header 'content-type: application/x-www-form-urlencoded' \
     --data grant_type=authorization_code \
     --data 'client_id=f490a907-9bf1-4471-97aa-6bfd159f81ac' \
     --data client_secret=client-secret \
     --data code=MCNYDB... \
     --data 'redirect_uri=https://example.labeling.sagemaker.aws/oauth2/idpresponse'

6. 此步取决于access_token你的 IdP 返回，一个纯文本访问令牌或 JWT 访问令牌。

   • 如果您的 IdP 不支持 JWT 访问令牌，access_token可能是纯文本（例如，UUID）。您看到的响应可能类似于以下内容。在此情况下，请转到步骤 7。

     {
       "access_token":"179c144b-fccb-4d96-a28f-eea060f39c13",
       "token_type":"Bearer",
       "expires_in":3600,
       "refresh_token":"ef43e52e-9b4f-410c-8d4c-d5c5ee57631a",
       "scope":"openid"
     }

   • 如果您的 IdP 支持 JWT 访问令牌，则步骤 5 应该生成 JWT 格式的访问令牌。例如，响应可能类似于以下内容：

     {
         "access_token":"eyJh...JV_adQssw5c",
         "refresh_token":"i6mapTIAVSp2oJkgUnCACKKfZxt_H5MBLiqcybBBd04",
         "refresh_token_expires_in":6327,
         "scope":"openid",
         "id_token":"eyJ0eXAiOiJK9...-rDaQzUHl6cQQWNiDpWOl_lxXjQEvQ"
     }

     复制 JWT 并对其进行解码。你可以使用 python 脚本或第三方网站来解码它。例如，您可以访问该网站https://jwt.io/然后将 JWT 粘贴到编码框来解码它。

     确保解码响应包含以下内容：

     • 这些区域有：必需 SageMaker 表格中的索赔向 Ground Truth 和亚马逊 A2I 发送必填和可选索赔. 如果没有，则必须重新配置 OIDC IdP 以包含这些声明。

     • 这些区域有：发布者您在设置 IdP 人力时指定。

7. 在终端中，在进行下面列出的必要修改后输入以下命令：

   curl -X POST -H 'Authorization: Bearer {ACCESS TOKEN}' -d '' -k -v {USERINFO ENDPOINT}
   

   1. Replace{USERINFO ENDPOINT}使用 OIDC IdP 的用户信息终端节点。

   2. Replace{ACCESS TOKEN}在步骤 7 中收到的响应中使用访问令牌。这是的条目"access_token"参数。

   以下是进行上述修改后 cURL 请求的示例：

    curl -X POST -H 'Authorization: Bearer eyJ0eX...' -d '' -k -v https://example.com/userinfo

8. 对上述过程中最后一步的响应可能类似于以下代码块。

   如果access_token在步骤 6 中返回的是纯文本，您必须验证此响应是否包含所需信息。在此情况下，响应必须包含必需 SageMaker 表格中的索赔向 Ground Truth 和亚马逊 A2I 发送必填和可选索赔. 例如，sagemaker-groups 和 sagamaker-name。

   {
       "sub":"122",
       "exp":"10000",
       "sagemaker-groups":["group1","group2"]
       "sagemaker-name":"name",
       "sagemaker-sub":"122",
       "sagemaker-client_id":"123456"
   }