¿Cómo utilizo un IdP de terceros para configurar IAM Identity Center para mi grupo de usuarios de Amazon Cognito?

Resolución

Uso de un cliente de aplicación y un nombre de dominio para crear un grupo de usuarios de Amazon Cognito

Nota: Si tienes un grupo de usuarios que tiene un cliente de aplicación, ve a la sección Activar IAM Identity Center y agregar un usuario.

Sigue estos pasos:

1. Crea una nueva aplicación.
2. Crea un dominio de prefijo de Amazon Cognito con el formato: https://cognitoexample.auth.region.amazoncognito.com. O bien, crea un dominio personalizado. Para obtener más información, consulta Configuración de un dominio de grupo de usuarios.
3. (Opcional) Aplica tu marca a las páginas de inicio de sesión administradas.

Activar IAM Identity Center y agregar un usuario

Nota: Si tienes un entorno de IAM Identity Center que funcione, ve a la sección Configuración de una aplicación SAML.

Sigue estos pasos:

1. Revisa los requisitos previos y las consideraciones de IAM Identity Center.
2. Activa IAM Identity Center. 
   Nota: Para el tipo de instancia, debes elegir una instancia organizativa de IAM Identity Center que crees en la cuenta de administración de AWS Organizations.
3. Confirma el origen de la identidad y, a continuación, crea un usuario.

Configuración de una aplicación SAML

Sigue estos pasos:

1. Abre la consola de IAM Identity Center.
2. En el panel de navegación, selecciona Aplicaciones.
3. Selecciona Agregar aplicación y, a continuación, selecciona Tengo una aplicación que quiero configurar en Preferencia de configuración.
4. En Tipo de aplicación, selecciona SAML 2.0 y, a continuación, elige Siguiente.
5. En la página Configurar la aplicación, introduce un nombre de visualización y una descripción.
6. Anota la URL del archivo de metadatos SAML de IAM Identity Center o elige el hipervínculo Descargar para descargar el archivo. 
7. En Metadatos de la aplicación, elige Escribir manualmente los valores de los metadatos. A continuación, introduce los siguientes valores:
   Para ver la URL del Servicio de consumidor de aserciones (ACS) de la aplicación, introduce https://domain-prefix.auth.region.amazoncognito.com/saml2/idpresponse.
   En Público SAML de la aplicación, introduce urn:amazon:cognito:sp:userpool-id.
   Nota: Sustituye domain-prefix por el prefijo de tu dominio, region por tu región de AWS y userpool-id por tu ID de grupo de usuarios.
8. Selecciona Enviar.
9. En la página de detalles de la aplicación, selecciona la lista desplegable Acciones.
10. Selecciona Editar asignaciones de atributos y, a continuación, introduce los siguientes atributos:
    En Atributo de usuario de la aplicación, mantén el asunto predeterminado.
    En Se asigna a este valor de cadena o atributo de usuario en IAM Identity Center, introduce ${user:subject}.
    En Formato, introduce Persistente.
    En Atributo de usuario de la aplicación, introduce el correo electrónico.
    En Se asigna a este valor de cadena o atributo de usuario en IAM Identity Center, introduce ${user:email}.
    En Formato, introduce Básico.
    Nota: IAM Identity Center envía las asignaciones de atributos a Amazon Cognito cuando inicias sesión. Asegúrate de asignar todos los atributos obligatorios del grupo de usuarios. Para obtener más información sobre los atributos de asignación disponibles, consulta Atributos de proveedores de identidades externos compatibles.
11. Selecciona Enviar.
12. En la sección Usuarios y grupos asignados, elige Asignar usuarios y grupos.
13. Busca tu usuario y, a continuación, selecciona Asignar.

Configurar IAM Identity Center como un IdP SAML en tu grupo de usuarios

Para configurar un IdP de SAML en tu grupo de usuarios, consulta Adición y administración de proveedores de identidades SAML en un grupo de usuarios. Cuando especifiques una asignación de atributos de un proveedor de SAML, introduce un correo electrónico válido en el campo de atributos de SAML. En Atributo de grupo de usuarios, selecciona correo electrónico.

Para obtener información sobre los nombres e identificadores de los proveedores, consulta Nombres e identificadores de los proveedores de identidades SAML.

Uso del cliente de aplicación del grupo de usuarios para integrar el proveedor de identidades

Sigue estos pasos:

1. Abre la consola de Amazon Cognito.
2. En el panel de navegación, elige Grupos de usuarios.
3. En Aplicaciones, elige Clientes de aplicaciones.
4. Selecciona un cliente de aplicación.
5. En la sección Páginas de inicio de sesión, selecciona Editar.
6. En la sección Proveedores de identidades, selecciona tu IdP.
7. Selecciona Guardar cambios.

Prueba de la configuración

Para probar un inicio de sesión iniciado por un proveedor de servicios (SP), sigue estos pasos:

1. Abre la consola de Amazon Cognito y, a continuación, selecciona Ver página de inicio de sesión en la pestaña Páginas de inicio de sesión del cliente de aplicación. O bien, crea la URL del punto de enlace de inicio de sesión. Usa el siguiente patrón de nombres de ejemplo y sustituye los valores del ejemplo por tus valores:
   https://my-user-pool.auth.us-east-1.amazoncognito.com/login?response_type=code&client_id=a1b2c3d4e5f6g7h8i9j0k1l2m3&redirect_uri=https://example.com
   En Tipos de concesión de OAuth 2.0, selecciona Concesión implícita. A continuación, establece response_type en token en la URL de solicitud.
2. En la pestaña Páginas de inicio de sesión, selecciona el IdP de IAM Identity Center.
   Si el navegador te redirige a la URL de devolución de llamada del cliente de aplicación, significa que has iniciado sesión correctamente como usuario. Los tokens del grupo de usuarios aparecen en la URL de la barra de direcciones del navegador web.
   Nota: Para omitir este paso, crea una URL de punto de enlace de autorización que tenga el siguiente patrón de nomenclatura:
   https://yourDomainPrefix.auth.region.amazoncognito.com/oauth2/authorize?response_type=token&identity_provider=samlProviderName&client_id=yourClientId&redirect_uri=redirectUrl&scope=allowedOauthScopes
3. Introduce las credenciales de usuario y, a continuación, selecciona Iniciar sesión.

Cuando Amazon Cognito te redirige a la URL de devolución de llamada con un código o un token, la configuración está completa.

Para comprobar el inicio de sesión iniciado por el proveedor de identidades (IdP), sigue estos pasos:

1. Abre la consola de Amazon Cognito.
2. En el panel de navegación, selecciona Grupos de usuarios y, a continuación, selecciona tu grupo de usuarios.
3. En el panel de navegación, elige Proveedor externo y social.
4. Selecciona tu IdP y, a continuación, elige Editar en la sección Información del proveedor de identidades.
5. En la sección Inicio de sesión SAML iniciado por el IdP, elige Aceptar aserciones SAML iniciadas por el SP y por el IdP.
   Nota: Puedes agregar otros proveedores de SAML a un cliente de aplicación que acepte un proveedor de SAML con un inicio de sesión iniciado por un IdP. Elimina otros proveedores sociales o de OpenID Connect (OIDC) o directorios de grupos de usuarios de Cognito del cliente de aplicación.
6. Selecciona Guardar cambios.
7. Abre la consola de IAM Identity Center y, a continuación, selecciona tu aplicación SAML 2.0.
8. Selecciona el menú desplegable Acciones y, a continuación, selecciona Editar configuración.
9. En Propiedades de la aplicación, agrega el siguiente valor de estado de retransmisión:
   identity_provider=identity-provider-name&client_id=app-client-id&redirect_uri=callback-url&response_type=token&scope=openid+email
   Nota: Sustituye los valores del ejemplo por tus valores.
10. Selecciona Enviar.
11. En el panel de navegación, selecciona Configuración.
12. En la sección Origen de la identidad, copia la URL del portal de acceso de AWS y ábrela en tu navegador.
13. Introduce las credenciales de usuario y, a continuación, selecciona Iniciar sesión.
14. Selecciona la aplicación Cognito.

Si Amazon Cognito te redirige a la URL de devolución de llamada con un código o un token, significa que la configuración está completa.

Información relacionada

Cómo funciona el inicio de sesión federado en los grupos de usuarios de Amazon Cognito

Descripción de los tokens web JSON de grupos de usuarios (JWTs)