Federación de identidades SAML, OIDC y web

La federación permite que las identidades definidas fuera de AWS inicien sesión y reciban permisos de AWS sin tener nunca un usuario de IAM.

Un proveedor de identidad (IdP) externo acredita al usuario y AWS confía en esa afirmación para emitir credenciales temporales. Esto evita duplicar cuentas y mantiene la fuente de verdad en su directorio existente.

SAML (Security Assertion Markup Language) 2.0 es el estándar clásico para la federación empresarial.

• Registra el IdP en IAM como un proveedor de identidad SAML.
• El IdP envía una aserción firmada después de que el usuario inicia sesión.
• AWS la intercambia mediante STS por credenciales temporales para un rol.

Es habitual con Active Directory Federation Services y otros IdP corporativos similares.

OIDC (OpenID Connect) es un estándar moderno basado en tokens y construido sobre OAuth 2.0.

Es ideal para federar cargas de trabajo y sistemas de CI/CD. Por ejemplo, una canalización de GitHub Actions puede presentar un token OIDC y AWS asumir un rol sin claves almacenadas. Registra el proveedor como un proveedor de identidad OIDC de IAM.

La federación de identidades web permite a los usuarios iniciar sesión con un proveedor público, como Google, Facebook o Amazon, algo habitual en aplicaciones móviles y web.

La aplicación pasa el token del proveedor a STS mediante AssumeRoleWithWebIdentity y recibe credenciales temporales asociadas a un rol. Los usuarios nunca necesitan una identidad de IAM.

Todas las vías de federación convergen en STS (Security Token Service). STS intercambia una aserción externa verificada por credenciales de AWS de corta duración asociadas a un rol de IAM.

• SAML utiliza AssumeRoleWithSAML.
• OIDC y la identidad web utilizan AssumeRoleWithWebIdentity.

Los permisos del rol definen lo que puede hacer el usuario federado.

El rol de IAM que asume un usuario federado tiene una política de confianza que especifica el IdP como principal.

Las condiciones de la política de confianza restringen quién puede asumir el rol desde ese proveedor; por ejemplo, exigen que coincida un atributo SAML específico o una notificación sub de OIDC. Esto evita que un proveedor amplio conceda acceso a todo el mundo.

IAM Identity Center es por sí mismo una capa de federación para la plantilla, con un portal completo y conjuntos de permisos.

Los proveedores SAML u OIDC directos de IAM son componentes de nivel inferior, más adecuados para la federación de aplicaciones y cargas de trabajo o para configuraciones heredadas. En el examen se espera que elija Identity Center para el SSO humano y roles OIDC para las canalizaciones.

Para aplicaciones orientadas a consumidores, Amazon Cognito identity pools actúa como intermediario de la federación de identidades web.

Intercambia los inicios de sesión de redes sociales o de grupos de usuarios por credenciales temporales de AWS y gestiona las llamadas a STS en segundo plano. Es la opción recomendada para aplicaciones móviles, en lugar de llamar directamente a AssumeRoleWithWebIdentity.

El objetivo principal de la federación es evitar integrar claves de larga duración en aplicaciones, canalizaciones y dispositivos.

• Las claves estáticas filtradas son una de las principales causas de filtraciones.
• Los tokens federados tienen una duración breve y están asociados a una identidad verificada.

Si encuentra claves de acceso codificadas directamente en un escenario, normalmente la solución es la federación.

Adapte el estándar al origen:

• SAML para IdP empresariales tradicionales y AD.
• OIDC para cargas de trabajo modernas y CI/CD.
• Identidad web / Cognito para usuarios de aplicaciones públicas.

Todos proporcionan credenciales temporales; se diferencian principalmente en el formato del token y el caso de uso.

Las sesiones federadas aparecen en CloudTrail con la identidad del rol asumido y el evento de federación.

Puede rastrear qué IdP y qué usuario externo desencadenaron una acción, manteniendo la responsabilidad aunque no exista ningún usuario de IAM. Usar nombres de rol coherentes facilita mucho la lectura de estos registros.

Elija la opción de federación adecuada.

Ha comparado los estándares de federación.

• SAML para IdP empresariales, OIDC para cargas de trabajo y identidad web/Cognito para usuarios de aplicaciones.
• Todos intercambian una aserción externa verificada mediante STS por credenciales temporales para un rol.
• La federación elimina la necesidad de integrar claves de larga duración.