Wie richte ich Okta als SAML-Identitätsanbieter in einem Amazon Cognito-Benutzerpool ein?

Kurzbeschreibung

Die Okta SAML IdP-Integration mit Amazon Cognito erfordert eine Konfiguration auf beiden Plattformen. Erstelle und konfiguriere zunächst eine SAML-App-Integration in Okta. Füge anschließend Okta als IdP zu deinem Amazon Cognito-Benutzerpool hinzu und konfiguriere deine App-Client-Einstellungen, um die Okta-Authentifizierung zu ermöglichen. Nach der Einrichtung empfiehlt es sich, den Authentifizierungsablauf zu testen, um sicherzustellen, dass Benutzer Tokens von Amazon Cognito erhalten, nachdem sie sich über Okta angemeldet haben.

Lösung

Bevor du Okta als SAML-IdP konfigurierst, gehe wie folgt vor:

• Erstelle einen Amazon Cognito-Benutzerpool und einen App-Client.
• Konfiguriere einen Domain-Namen für deinen Benutzerpool.

(Optional) Okta-Entwicklerkonto eröffnen

Hinweis: Wenn du bereits ein Okta-Entwicklerkonto hast, melde dich an.

Führe die folgenden Schritte aus:

1. Öffne die Okta Developer-Anmeldeseite auf der Okta Developer-Website.
2. Gib die erforderlichen Informationen ein und wähle dann Registrieren aus. Okta sendet eine Bestätigungs-E-Mail an die von dir angegebene E-Mail-Adresse.
3. In der Bestätigungs-E-Mail findest du die Anmeldeinformationen für dein Konto.
4. Wähle Konto aktivieren aus und melde dich dann an, um die Kontoerstellung abzuschließen.

SAML-App erstellen und SAML-Integration für deine Okta-App konfigurieren

Führe die folgenden Schritte aus:

1. Öffne die Okta Developer-Konsole.
2. Erweitere im Navigationsbereich Anwendungen und wähle dann Anwendungen aus.
3. Wähle App-Integration erstellen aus.
4. Wähle im Menü Neue App-Integration erstellen als ** Anmeldemethod** die Option SAML 2.0 aus.
5. Wähle Weiter aus.
6. Gib auf der Seite SAML-Integration erstellen unter Allgemeine Einstellungen einen Namen für die App ein.
7. (Optional) Lade ein Logo hoch und wähle Sichtbarkeitseinstellungen für deine App aus.
8. Wähle Weiter aus.
9. Gib unter SAML-Einstellungen für Single-Sign-On-URL https://yourDomainPrefix.auth.region.amazoncognito.com/saml2/idpresponse ein.
   Hinweis: Ersetze yourDomainPrefix und region durch die Werte deines Benutzerpools. Um diese Werte zu finden, öffne die Amazon Cognito-Konsole und wähle dann Domain aus dem Branding-Abschnitt aus.
10. Gib als Zielgruppen-URI (SP-Entitäts-ID) urn:amazon:cognito:sp:yourUserPoolId ein.
    Hinweis: Ersetze yourUserPoolId durch die Benutzerpool-ID. Die Benutzerpool-ID findest du im Abschnitt Übersicht auf der Amazon Cognito-Konsole.
11. Füge unter Attributanweisungen (optional) eine Anweisung hinzu und verwende die folgenden Informationen:
    Gib als Name den SAML-Attributnamen http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress ein.
    Gib als Wert user.email ein.
    Verwende für andere Einstellungen auf der Seite die Standardwerte oder passe sie an deine Anforderungen an.
12. Wähle Weiter aus.
13. Wenn du dazu aufgefordert wirst, wähle eine Feedback-Antwort zur Einrichtung der App aus.
    Hinweis: Dies ist Teil des Standardanwendungserstellungsprozesses von Okta, um Feedback zur Benutzererfahrung zu sammeln.
14. Wähle Fertigstellen aus.

Der Okta-Anwendung einen Benutzer zuweisen

Führe die folgenden Schritte aus:

1. Wähle in der Okta-App auf der Registerkarte Zuweisungen unter Zuweisen die Option Personen zuweisen aus.
2. Wähle neben dem Benutzer, den du zuweisen möchtest, die Option Zuweisen aus.
   Hinweis: Wenn es sich um ein neues Konto handelt, kannst du nur dich selbst als Benutzer auswählen.
3. (Optional) Gib für Benutzername einen benutzerdefinierten Benutzernamen ein. Okta verwendet die E-Mail-Adresse des Benutzers als Benutzernamen, wenn du keinen angibst.
4. Wähle Speichern und Zurück aus, um die Benutzerzuweisung abzuschließen.
5. Wähle Fertig aus.

IdP-Metadaten für die Okta-Anwendung abrufen

Kopiere im Tab Anmelden für deine Okta-App unter Metadatendetails die Metadaten-URL.

Okta als SAML-IdP in den Benutzerpool konfigurieren

Führe die folgenden Schritte aus:

1. Öffne die Amazon Cognito-Konsole.
2. Wähle den Benutzerpool.
3. Wähle im Navigationsbereich unter Authentifizierung die Option Soziale und externe Anbieter aus.
4. Wähle Identitätsanbieter hinzufügen und dann SAML aus.
5. Gib unter App bei deinem SAML-Anbieter registrieren als Anbietername Okta ein.
6. (Optional) Füge SAML-Identifikatoren hinzu, um Anmelde- und Abmeldeanfragen an Okta weiterzuleiten.
7. (Optional) Aktiviere den Single Logout, um Benutzer von Okta abzumelden, wenn sie sich von deinem Benutzerpool abmelden.
8. Wähle unter Metadaten-Dokumentquelle die Option URL des Metadaten-Dokumentendpunkts eingeben aus und füge dann die Metadaten-URL ein, die du von der Registerkarte Anmelden in Okta kopiert hast.
9. Gib unter Attribute zwischen deinem SAML-Anbieter und deinem Benutzerpool zuordnen die E-Mail-Adresse für das SAML-Attribut an.
10. Wähle Identitätsanbieter hinzufügen aus.

Weitere Informationen findest unter Hinzufügen und Verwalten von SAML-Identitätsanbietern in den / im Benutzerpool.

Ändern der App-Client-Einstellungen für den Benutzerpool

Führe die folgenden Schritte aus:

1. Wähle in der Amazon Cognito-Konsole unter App-Clients deinen Benutzerpool aus.
2. Wähle im Navigationsbereich unter Anwendungen die Option App-Clients aus.
3. Navigiere auf der App-Client-Seite zum Abschnitt Anmeldeseiten. Wähle dann unter Konfiguration der verwalteten Anmeldeseiten die Option Bearbeiten aus.
4. Wähle in der Dropdownliste Identitätsanbieter die Optionen Okta und Cognito-Benutzerpool aus.
   Gib für Callback-URL(s) die Ziel-URL für deine Benutzer nach erfolgreicher Anmeldung an.
   Gib für Abmelde-URL(s) die Ziel-URL für deine Benutzer nach dem Abmelden an.
   Hinweis: Wenn du die Integration testen möchtest, verwende eine Platzhalter-URL wie https://www.beispiel.com/. Du kannst diesen Platzhalter später mit der URL deiner Anwendung aktualisieren.
   Wähle unter Zulässige OAuth-Abläufe die Option Implizite Erteilung aus.
   Wähle unter Zulässige OAuth-Bereiche die Optionen email und openid aus.
5. Wähle Änderungen speichern aus.

Weitere Informationen findest du unter Nutzungsbedingungen für App-Clients.

Auf die Anmeldeseite zugreifen, um den SAML-Authentifizierungsablauf zu testen

Du kannst über die Amazon Cognito-Konsole auf die Anmeldeseite zugreifen oder eine URL für den Anmeldeendpunkt erstellen.

1. Wähle in der Amazon Cognito-Konsole unter App-Clients deinen Benutzerpool aus.
2. Wähle die Registerkarte Anmeldeseiten und dann Anmeldeseite anzeigen aus.
   -oder-
   Erstelle die URL des Anmeldeendpunkts. Verwende das folgende Benennungsmuster, um den Anmeldeendpunkt zu erstellen:
   https://yourDomainPrefix.auth.region.amazoncognito.com/login?response_type=token&client_id=yourClientId&redirect_uri=redirectUrl
   Hinweis: Ersetze yourDomainPrefix und region durch die Werte deines Benutzerpools. Um diese Werte in der Amazon Cognito-Konsole zu finden, wähle die Seite Domainnamen aus.
3. Wähle auf der Webseite für den Anmeldeendpunkt Okta aus.
   Hinweis: Wenn das System dich zur Callback-URL deines App-Clients weiterleitet, bist du bereits in deinem Okta-Konto angemeldet. Fahre mit Schritt 5 fort.
4. Gib auf der Okta-Anmeldeseite den Benutzernamen und das Passwort für den Benutzer ein, den du deiner App zugewiesen hast.
5. Wähle Anmelden.
6. Suche in der Adressleiste deines Browsers nach den Benutzerpool-Token.

(Optional) Von Amazon Cognito gehostete Benutzeroberfläche umgehen

Um die von Amazon Cognito gehostete Weboberfläche zu umgehen und Benutzer zur Anmeldung direkt an Okta weiterzuleiten, verwende die folgende /oauth2/authorize-Endpunkt-URL:

https://yourDomainPrefix.auth.region.amazoncognito.com/oauth2/authorize?response_type=token&identity_provider=samlProviderName&client_id=yourClientId&redirect_uri=redirectUrl&scope=allowedOauthScopes

Hinweis: Ersetze yourDomainPrefix, region, samlProviderName, yourClientId, redirectUrl und allowedOauthScopes durch deine Werte. Um yourDomainPrefix und region zu finden, wähle in der Amazon Cognito-Konsole im Bereich Branding die Option Domain aus. Wähle für yourClientId und redirectUrl die Seite mit den ** App-Client**-Einstellungen in der Amazon Cognito-Konsole aus.

(Optional) Wenn du eine SAML-ID hinzugefügt hast, ersetze den Platzhalter identity_provider=samlProviderName durch idp_identifier=idpIdentifier. Ersetze idpIdentifier durch deine benutzerdefinierte Identifikationszeichenfolge.

Ähnliche Informationen

SAML-Sitzungsinitiierung in Amazon Cognito-Benutzerpools

Wie richte ich einen externen SAML-Identitätsanbieter mit einem Amazon Cognito-Benutzerpool ein?

Wie richte ich Okta als OpenID-Connect-Identitätsanbieter in einem Amazon Cognito-Benutzerpool ein?

Benutzerpool-Anmeldung bei externen Identitätsanbietern