联合身份验证与Cognito

Hello大家好，我们接下来讨论AWS联合身份验证的内容。

AWS联合身份验证

对于考试，联合身份验证部分是一块非常重要的内容。那什么是联合身份验证，它是做什么用的呢？

联合身份验证，是用来允许AWS外部用户，如您的公司目录中的用户，外部三方用户，通过代入AWS的角色，然后通过代入角色的临时安全凭证的方式访问AWS的资源。

我们看一下联合身份验证大致的流程：

• 首先，您的用户通过第三方的用户系统进行身份验证，AWS要信任这个第三方。
• 当用户登陆时从三方那拿回了凭证，然后通过交换或使用这个凭证来访问AWS资源。

联合身份验证的核心思想是通过AWS信任的第三方的用户系统来执行所有的用户管理行为。

AWS的联合身份有多种形式，我们需要了解所有这些形式，以及在面对不同的使用场景选择最适合的方案：

• 第一个是，SAML 2.0
• 第二个是，用户自定义身份代理
• 然后是使用Cognito的WEB身份验证及【12】不使用Cognito的WEB身份验证
• 还有SSO，单点登陆
• 以及AWS托管的 Microsoft AD (Non-SAML)

使用联合身份验证，不需要我们为这些用户在AWS账户中创建IAM用户，用户管理工作是在AWS外的用户系统中完成的。

那我们接下来的内容就开始讨论上面联合身份验证的几种形式。

SAML 2.0联合身份验证

首先，SAML 2.0联合身份验证。

SAML 2.0，也就是安全断言标记语言 2.0，它支持联合身份验证，是许多身份验证提供商 (IdP) 使用的一种开放标准。

如您的公司已使用支持 SAML 2.0 的身份提供商，比如本地的Active Directory（活动目录），或者ADFS（活动目录联合服务）等，那么可以使用 SAML来简化为AWS 配置联合身份验证的过程