SAML、OIDC 和 Web 身份联合

联邦身份允许在 AWS 外部定义的身份登录，并获得 AWS 权限，而无需拥有 IAM 用户。

外部身份提供商会为用户背书，AWS 信任这一断言并签发临时凭证。这样可以避免重复创建账户，并让现有目录继续作为事实来源。

SAML（安全断言标记语言）2.0 是企业联合身份验证的经典标准。

• 您可以在 IAM 中将 IdP 注册为SAML 身份提供商。
• 用户登录后，IdP 会发送经过签名的断言。
• AWS 通过 STS 将其交换为临时角色凭证。

它常用于 Active Directory Federation Services 以及类似的企业 IdP。

OIDC（OpenID Connect）是建立在 OAuth 2.0 之上的现代令牌标准。

它非常适合联合身份验证工作负载和 CI/CD 系统。例如，GitHub Actions 流水线可以出示 OIDC 令牌，而 AWS 无需存储密钥即可代入角色。您可以将提供商注册为 IAM OIDC 身份提供商。

Web 身份联合身份验证允许用户使用 Google、Facebook 或 Amazon 等公共提供商登录，这在移动应用和 Web 应用中很常见。

应用会通过 AssumeRoleWithWebIdentity 将提供商的令牌传递给 STS，并接收权限范围限定为某个角色的临时凭证。用户完全不需要 IAM 身份。

所有联合身份验证路径最终都会汇聚到 STS（安全令牌服务）。STS 会将经过验证的外部断言交换为与 IAM 角色关联的短期 AWS 凭证。

• SAML 使用 AssumeRoleWithSAML。
• OIDC 和 Web 身份使用 AssumeRoleWithWebIdentity。

角色的权限决定联合用户可以执行哪些操作。

联合用户代入的 IAM 角色具有信任策略，其中将 IdP 指定为主体。

信任策略中的 Condition 会限制该提供商中的哪些用户可以代入角色，例如匹配特定的 SAML 属性或 OIDC 的 sub 声明。这样可以避免范围过大的提供商向所有人授予访问权限。

IAM Identity Center 本身就是面向员工用户的联合身份验证层，提供完善的门户和权限集。

原始 IAM SAML 或 OIDC 提供商属于更底层的构建模块，更适合用于应用和工作负载联合身份验证或旧系统配置。考试要求您为人工用户 SSO 选择 Identity Center，为流水线选择 OIDC 角色。

对于面向消费者的应用，Amazon Cognito 身份池会为您代理 Web 身份联合身份验证。

它会将社交身份或用户池登录交换为临时 AWS 凭证，并在后台处理 STS 调用。对于移动应用，推荐使用此方式，而不是直接调用 AssumeRoleWithWebIdentity。

联合身份验证的核心目的，就是停止在应用、流水线和设备中嵌入长期密钥。

• 静态密钥泄露是导致数据泄露的主要原因之一。
• 联合令牌具有较短的有效期，并且与经过验证的身份关联。

如果题目场景中出现硬编码的访问密钥，通常应使用联合身份验证来解决。

根据来源选择标准：

• 传统企业 IdP 和 AD 使用 SAML。
• 现代工作负载和 CI/CD 使用 OIDC。
• 公共应用用户使用Web 身份 / Cognito。

它们都会提供临时凭证，主要区别在于令牌格式和使用场景。

联合会话会以代入角色的身份和联合事件出现在 CloudTrail 中。

您可以追踪是哪个 IdP 以及哪个外部用户触发了操作，即使不存在 IAM 用户，也能保留责任追踪能力。统一的角色命名会让这些日志更易于阅读。

您比较了几种联合身份验证标准。

• 企业 IdP 使用 SAML，工作负载使用 OIDC，应用用户使用Web 身份/Cognito。
• 它们都会通过 STS 将经过验证的外部断言交换为临时角色凭证。
• 联合身份验证消除了嵌入长期密钥的需要。