DEV Community
·
如何创建新的 Entra ID 企业应用并配置自定义属性以用于 AWS Cognito 的 SAML 登录
内容提要
在将Entra ID与AWS Cognito集成进行SAML登录时，使用user.objectid作为唯一标识符，以确保用户身份一致。步骤包括在Entra ID中创建企业应用、配置SSO、分配权限，并设置用户属性和声明。在AWS Cognito中启用身份提供商，配置属性映射，并为应用客户端启用外部IdP。这确保了用户身份在属性更改时的一致性和更新。
关键要点
-
在将Entra ID与AWS Cognito集成进行SAML登录时，使用user.objectid作为唯一标识符，以确保用户身份一致。
-
创建企业应用的步骤包括在Entra ID中创建新应用、配置SSO、分配权限，并设置用户属性和声明。
-
user.objectid属性是每个用户在Entra ID中的唯一标识符，即使其他用户属性更新也不会改变。
-
在Entra ID中配置SSO登录时，需要设置登录URL和应用身份，并编辑基本SAML配置。
-
在AWS Cognito中启用身份提供商，并配置属性映射以确保用户身份一致性。
-
在AWS Cognito中为应用客户端启用外部IdP，以便用户可以通过外部身份提供商登录。
-
测试配置后，用户在成功通过外部IdP认证后将自动在Cognito用户池中创建，状态为“已启用”。
-
此设置确保用户身份在属性更改时的一致性和更新。
延伸解读
用户身份一致性的重要性
在集成Entra ID与AWS Cognito时，使用user.objectid作为唯一标识符至关重要。这一属性确保即使用户的其他信息（如姓氏）发生变化，用户身份依然保持一致，避免了因信息更新而导致的用户数据丢失或重复创建的问题。
配置过程中的注意事项
在配置SSO登录时，确保正确设置登录URL和基本SAML配置。错误的配置可能导致用户无法顺利登录。此外，分配权限时要仔细选择用户和组，以确保只有授权用户能够访问应用。
AWS Cognito中的外部身份提供商配置
在AWS Cognito中启用外部身份提供商时，建议使用Federation Metadata URL而非手动上传XML文件。这种方式可以自动更新元数据，减少因SSL证书过期或其他变更导致的认证问题。
延伸问答
如何在Entra ID中创建新的企业应用？
在Entra ID中，打开Azure门户，选择企业应用，点击新建应用，选择创建自己的应用，输入应用名称并创建。
为什么使用user.objectid作为唯一标识符？
user.objectid是每个用户在Entra ID中的唯一标识符，即使其他用户属性更新也不会改变，确保用户身份一致性。
如何在AWS Cognito中配置SAML身份提供商？
在AWS Cognito中，选择用户池，进入登录体验选项卡，添加身份提供商，选择SAML类型，输入提供商名称和标识符，添加元数据文档端点URL。
在Entra ID中如何配置SSO登录？
在企业应用中选择单点登录选项，点击SAML作为单点登录方法，编辑基本SAML配置，设置标识符和回复URL。
如何确保用户身份在属性更改时的一致性？
通过使用user.objectid作为唯一标识符，并在AWS Cognito中配置属性映射，确保用户身份在属性更改时的一致性和更新。
测试配置后用户在Cognito中的状态是什么？
用户在成功通过外部身份提供商认证后，将自动在Cognito用户池中创建，状态为“已启用”。
