如何在使用 AWS ALB/Cognito/OIDC IdProvider 进行身份验证后获取临时凭证？

Question

我已经使用通过 Cognito 用户池连接的 OIDC 身份提供商 (SalesForce) 设置 ALB 内置身份验证，或多或少遵循 this guide。

通过此设置，我的 Web 应用程序（基于 Java/Spring Boot）接收由 ALB 转发的标头 x-amzn-oidc-accesstoken、x-amzn-oidc-identity 和 x-amzn-oidc-data。
我可以解析和验证这些标头中包含的 JWT 令牌，例如，从那里获取用户的电子邮件。

现在我的目标是让经过身份验证的用户通过 AWS JavaScript SDK 直接从客户端访问某些 AWS 资源或服务。例如，我希望用户能够列出 S3 存储桶上的对象或调用某些 lambda 函数。

我的理解是，我需要为这个经过身份验证的用户生成临时凭据。但我找不到有关如何执行此操作的具体文档。最接近的命中是：

• https://docs.aws.amazon.com/AmazonS3/latest/dev/AuthUsingTempFederationTokenJava.html
• https://docs.aws.amazon.com/sdk-for-javascript/v2/developer-guide/setting-credentials-browser.html

但我无法将那里的点连接起来。我的期望是我可能应该以某种方式使用x-amzn-oidc-accesstoken、x-amzn-oidc-identity 和x-amzn-oidc-data 标头，但我找不到任何可以做到这一点的代码。

所以我的问题是：如何为通过 Cognito 与 OIDC 身份提供程序通过内置 ALB 身份验证进行身份验证的用户生成临时凭据？

Answer 1

您需要采取多个步骤来实现这一目标。

首先是创建一个适当的 IAM 角色，让您的用户代入该角色。如果您想为您的用户提供 S3 访问，那么您需要以这种方式定制 IAM 角色并设置该角色和WebIdentity 之间的信任关系（如果您转到控制台 -> IAM -> 角色 -> 创建角色，您将在屏幕顶部看到此选项 - Select type of trusted entity 并根据您的实际 OIDC 提供商配置提供商。

拥有该角色后，您需要将您当前拥有的 WebIdentity 令牌交换为 STS 令牌。在您的情况下，您需要调用 sts.assume_role_with_web_identity 函数（它是 SDK 的一部分），您需要在其中指定

• RoleArn - 上面创建的角色的 arn，将由您的用户承担
• RoleSessionName - 会话用户的名称（可以是任意字符串）
• WebIdentityToken - 符合 OIDC 的令牌（您当前拥有的令牌）
• Duration - 返回的凭据有效期为多长时间

拨打电话后，您将收到包含以下内容的回复：

'Credentials': {
    'AccessKeyId': 'string',
    'SecretAccessKey': 'string',
    'SessionToken': 'string',
    'Expiration': datetime(2015, 1, 1)
},
...

重要的部分是AccessKeyId、SecretAccessKey和SessionToken。这些 临时凭证可用于从您的代码直接调用 S3、Lambda 或任何其他 AWS 服务，但您需要配置您当前使用的开发工具包以包含它们。一旦完成所有这些，你应该很高兴没有任何问题。