SAML, OIDC, dan Federasi Identitas Web

Federasi memungkinkan identitas yang ditetapkan di luar AWS untuk masuk dan menerima izin AWS tanpa pernah memiliki pengguna IAM.

Penyedia identitas eksternal (IdP) menjamin identitas pengguna, lalu AWS memercayai pernyataan tersebut untuk menerbitkan kredensial sementara. Cara ini menghindari duplikasi akun dan mempertahankan sumber kebenaran di direktori Anda yang sudah ada.

SAML (Security Assertion Markup Language) 2.0 adalah standar klasik untuk federasi perusahaan.

• Anda mendaftarkan IdP di IAM sebagai penyedia identitas SAML.
• IdP mengirimkan pernyataan yang ditandatangani setelah pengguna masuk.
• AWS menukarkannya melalui STS dengan kredensial peran sementara.

Standar ini umum digunakan bersama Active Directory Federation Services dan IdP korporat serupa.

OIDC (OpenID Connect) adalah standar modern berbasis token yang dibangun di atas OAuth 2.0.

Standar ini ideal untuk memfederasikan beban kerja dan sistem CI/CD. Sebagai contoh, pipeline GitHub Actions dapat menyajikan token OIDC, lalu AWS mengambil peran tanpa kunci yang disimpan. Anda mendaftarkan penyedia tersebut sebagai penyedia identitas OIDC IAM.

Federasi identitas web memungkinkan pengguna masuk dengan penyedia publik seperti Google, Facebook, atau Amazon, yang umum digunakan dalam aplikasi seluler dan web.

Aplikasi meneruskan token penyedia ke STS melalui AssumeRoleWithWebIdentity dan menerima kredensial sementara yang dibatasi pada suatu peran. Pengguna tidak pernah memerlukan identitas IAM.

Semua jalur federasi bermuara pada STS (Security Token Service). STS menukarkan pernyataan eksternal yang telah diverifikasi dengan kredensial AWS berumur singkat yang terikat pada peran IAM.

• SAML menggunakan AssumeRoleWithSAML.
• OIDC dan identitas web menggunakan AssumeRoleWithWebIdentity.

Izin peran menentukan tindakan yang dapat dilakukan oleh pengguna terfederasi.

Peran IAM yang diambil oleh pengguna terfederasi memiliki kebijakan kepercayaan yang menyebutkan IdP sebagai principal.

Condition dalam kebijakan kepercayaan membatasi siapa dari penyedia tersebut yang boleh mengambil peran, misalnya dengan mencocokkan atribut SAML tertentu atau klaim subjek OIDC. Dengan demikian, penyedia yang cakupannya luas tidak dapat memberikan akses kepada semua orang.

Pusat Identitas IAM sendiri merupakan lapisan federasi untuk tenaga kerja, dengan portal yang terpoles dan kumpulan izin.

Penyedia SAML atau OIDC IAM mentah adalah komponen tingkat lebih rendah yang lebih sesuai untuk federasi aplikasi dan beban kerja atau penyiapan lama. Dalam ujian, Anda diharapkan memilih Pusat Identitas untuk SSO manusia dan peran OIDC untuk pipeline.

Untuk aplikasi yang ditujukan kepada konsumen, kumpulan identitas Amazon Cognito menjadi perantara federasi identitas web untuk Anda.

Layanan ini menukarkan login sosial atau kumpulan pengguna dengan kredensial AWS sementara dan menangani pemanggilan STS di balik layar. Ini adalah jalur yang direkomendasikan untuk aplikasi seluler, bukan memanggil AssumeRoleWithWebIdentity secara langsung.

Tujuan utama federasi adalah berhenti menyematkan kunci jangka panjang di aplikasi, pipeline, dan perangkat.

• Kunci statis yang bocor merupakan salah satu penyebab utama pembobolan.
• Token terfederasi berumur singkat dan terikat pada identitas yang telah diverifikasi.

Jika Anda melihat kunci akses yang ditulis secara permanen dalam suatu skenario, federasi biasanya merupakan solusinya.

Sesuaikan standar dengan sumbernya:

• SAML untuk IdP perusahaan tradisional dan AD.
• OIDC untuk beban kerja modern dan CI/CD.
• Identitas web / Cognito untuk pengguna aplikasi publik.

Semuanya menghasilkan kredensial sementara, dengan perbedaan utama pada format token dan kasus penggunaannya.

Sesi terfederasi muncul di CloudTrail bersama identitas peran yang diambil dan peristiwa federasinya.

Anda dapat melacak IdP dan pengguna eksternal yang memicu suatu tindakan, sehingga akuntabilitas tetap terjaga meskipun tidak ada pengguna IAM. Penamaan peran yang konsisten membuat log ini jauh lebih mudah dibaca.

Pilih opsi federasi yang tepat.

Anda telah membandingkan berbagai standar federasi.

• SAML untuk IdP perusahaan, OIDC untuk beban kerja, dan identitas web/Cognito untuk pengguna aplikasi.
• Semuanya menukarkan pernyataan eksternal yang telah diverifikasi melalui STS dengan kredensial peran sementara.
• Federasi menghilangkan kebutuhan akan kunci jangka panjang yang disematkan.