如何将Okta配置为AWS Cognito身份池的SAML IdP？

Question

我想将Okta配置为AWS Cognito标识池（不是用户池）的SAML IdP。

创建身份池时，我需要指定与AWS帐户关联的SAML IdP。作为定义IdP的一部分，我需要提供一个元数据文档文件：

要从Okta获取这个元数据文档，我需要在Okta中定义一个使用SAML集成的应用程序（即AWS是资源提供者，Okta是IdP）：

这需要AWS提供2个我不知道如何获取的值：

>

单一登录URL。Okta UI提示读取：

通过HTTP POST发送SAML断言的位置。这通常被称为应用程序的SAML断言使用者服务（ACS）URL。

应用程序定义的唯一标识符，它是SAML断言的目标受众。这通常是应用程序的SP实体ID。

如何/从何处从AWS获取这些值？

如果我试图为Cognito身份池创建IdP，并且我需要创建一个IdP，该IdP需要来自Okta的值，该Okta需要引用Cognito身份池的值，如何避免循环引用？

Answer 1

问题1：URL上的单点符号。OktaUI提示如下：

通过HTTP POST发送SAML断言的位置。这通常被称为应用程序的SAML断言使用者服务（ACS）URL。

回答：

URL上的单点登录：https://signin.aws.amazon.com/saml

问题2：受众URI（SP实体ID）。OktaUI提示如下：

应用程序定义的唯一标识符，它是SAML断言的目标受众。这通常是应用程序的SP实体ID。

回答：

访问群体URI（SP实体ID）：urn:amazon:webservices

重要备注：

（1） 如何使用GitHub存储库中的Docker容器构建和运行Shibboleth SAML IdP和SP提供亚马逊AWS SAML服务提供metadta“Shibboleth IdP dockerized/ext conf/metadata/SP AWS Amazon com.xml”，该服务已通过亚马逊AWS的成功SSO验证。

Amazon AWS SAML服务提供metadta提供Okta SAML IdP所需的单一登录URL和访问群体URI（SP实体ID）。

（2）将SAML身份提供者添加到用户池声明用户池（非身份池）的Audience URI/SP实体ID为urn： amazon： gnito： sp： your-User-Pool-ID。

问题3：如果我试图为Cognito身份池创建一个IdP，并且我需要创建一个IdP，该IdP需要来自Okta的值，该Okta需要引用Cognito身份池的值，如何避免循环引用？

回答：
为了避免循环引用，Amazon AWS为Cognito标识池分配不同的AWS帐户相同的单点登录URL和访问群体URI（SP实体ID），因此，

（1） 您需要首先从Okta Admin GUI创建Amazon AWS SAML SP，

（2）然后您可以下载Okta的SAML IdP元数据，这是通过Amazon AWS Cognito Admin GUI创建IdP（作为Okta SAML IdP）所必需的。

请注意，Amazon AWS使用属性“awsRoles”（由SAML响应携带）来区分不同的AWS帐户。