使用 OIDC 身份来源 - Amazon Verified Permissions
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

使用 OIDC 身份来源

您也可以将任何合规的 OpenID Connect (OIDC) IdP 配置为策略存储的身份源。OIDC 提供商与 Amazon Cognito 用户池类似：它们是作为身份验证的 JWTs 产物生成的。要添加 OIDC 提供商，您必须提供颁发机构 URL

新的 OIDC 身份源需要以下信息：

  • 发行人网址。经过验证的权限必须能够在此 URL 上发现.well-known/openid-configuration终端节点。

  • 不包含通配符的 CNAME 记录。例如，a.example.com无法映射到*.example.net。相反，*.example.com无法映射到。a.example.net

  • 您要在授权请求中使用的令牌类型。在本例中，您选择了身份令牌。

  • 例如，您要与身份源关联的用户实体类型MyCorp::User。

  • 例如，您要与身份源关联的群组实体类型MyCorp::UserGroup。

  • ID 令牌示例，或 ID 令牌中声明的定义。

  • 要应用于用户和群组实体的前缀 IDs。在 CLI 和 API 中，您可以选择此前缀。例如MyCorp::User::"auth.example.com|a1b2c3d4-5678-90ab-cdef-EXAMPLE11111"，在您使用 “使用 API Gateway 和身份提供者进行设置” 或 “引导式设置” 选项创建的策略存储中，Verified Permissions 会分配颁发者名称减去https://的前缀。

有关使用 API 操作授权来自 OIDC 来源的请求的更多信息，请参阅。可用于授权的 API 操作

以下示例说明如何创建允许会计部门员工访问年终报告的策略，该策略具有机密分类且不在卫星办公室的员工可以访问年终报告。已验证权限从委托人 ID 令牌中的声明中派生这些属性。

请注意，在委托人中引用组时，必须使用in运算符才能正确评估策略。

permit(
     principal in MyCorp::UserGroup::"MyOIDCProvider|Accounting", 
     action, 
     resource in MyCorp::Folder::"YearEnd2024" 
) when { 
     principal.jobClassification == "Confidential" &&
     !(principal.location like "SatelliteOffice*")
};
主题