DynamoDB - Web身份聯合

Web身份聯合允許您簡化對大型使用者組的身份驗證和授權。您可以跳過建立單個帳戶，並要求使用者登入到身份提供商以獲取臨時憑證或令牌。它使用AWS安全令牌服務(STS)來管理憑證。應用程式使用這些令牌與服務互動。

Web身份聯合還支援其他身份提供商，例如亞馬遜、谷歌和Facebook。

功能 - 使用中，Web身份聯合首先呼叫身份提供商進行使用者和應用程式身份驗證，提供商返回一個令牌。這導致應用程式呼叫AWS STS並將令牌作為輸入傳遞。STS授權應用程式並授予其臨時訪問憑證，這允許應用程式使用IAM角色並根據策略訪問資源。

實施Web身份聯合

在使用之前，您必須執行以下三個步驟：

• 使用受支援的第三方身份提供商註冊為開發人員。

• 向提供商註冊您的應用程式以獲取應用程式ID。

• 建立單個或多個IAM角色，包括策略附加。您必須為每個提供商每個應用程式使用一個角色。

假設您的一個IAM角色使用Web身份聯合。然後，您的應用程式必須執行一個三步過程：

• 身份驗證
• 憑證獲取
• 資源訪問

第一步中，您的應用程式使用其自己的介面呼叫提供商，然後管理令牌流程。

然後，第二步管理令牌，並要求您的應用程式向AWS STS傳送一個AssumeRoleWithWebIdentity請求。該請求包含第一個令牌、提供商應用程式ID和IAM角色的ARN。STS提供的憑證會在一段時間後過期。

最後一步中，您的應用程式會收到來自STS的響應，其中包含DynamoDB資源的訪問資訊。它包含訪問憑證、過期時間、角色和角色ID。