L'héroïne.
Et bienvenue à nouveau.
Dans la vidéo d'aujourd'hui, nous allons parler de l'identification externe.
L'ID externe est un élément de données qui peut être transmis à l'API de rôle présumé du service de jeton de
sécurité.
L'objectif global de l'identification externe peut être expliqué par l'animation que nous avons maintenant.
Sur le côté gauche, vous avez un compte appelé compte exemple.
Donc, en fait, il y a trois comptes ici qui appartiennent à trois entités différentes.
Maintenant, dans le compte d'exemple, vous avez un rouleau de compte croisé par lequel les utilisateurs IAM du compte
Service Corp pourront se connecter.
C'est donc la règle du compte croisé qui est présente et vous avez également un compte d'attaquant.
Donc ce compte Service Corp fournit le service à la fois au compte exemple et au compte attaquant.
Maintenant, une fois que la règle de compte croisé a été créée, l'administrateur du compte exemple va essentiellement
fournir l'URL du rôle ainsi que l'admin, principalement parce que pour assumer le rôle, vous avez besoin soit
d'une URL, soit de l'admin.
Ainsi, une fois que les administrateurs du compte d'exemple ont fourni ces détails, les utilisateurs du compte Service
Corp ou l'application qui fonctionne dans le compte Service Corp seront en mesure d'assumer le rôle et d'accéder
aux ressources en fonction de la permission qui a été attribuée au rôle.
Maintenant, le défi qui peut se produire dans un tel scénario est que ce Service Corp fournit une application
en tant que service à la fois au compte exemple et au compte attaquant, et si le compte attaquant
fournit l'URL du rôle et la fin de ce rôle du compte exemple, alors ce qui se passera est que l'application ou un service qui
est exécuté dans le compte Service Corp utilisera cette URL ou alors pour assumer le rôle et accéder
au service.
Donc, essentiellement ce qui se passera est le compte de l'attaquant.
S'il est capable de deviner la fin de ce rôle spécifique, il peut le spécifier à l'application qui a été
fournie par le compte Service Corp pour accéder à la ressource du compte exemple.
C'est donc le défi général auquel sont confrontées de nombreuses organisations.
Et pour surmonter cela, nous utilisons un identifiant externe. L'identifiant externe est donc un élément de données supplémentaire
que vous fournissez en plus du rôle dans lequel il se trouve afin d'assumer ce rôle.
Voilà pour l'aperçu général de la nécessité de l'identification externe.
Alors faisons une chose.
Faisons rapidement une démonstration pour que cela soit mieux compris.
Donc, dans le compte de service huit, il y a deux rôles qui sont créés.
Le premier est un rôle normal et le second est le rôle qui utilise l'identification externe.
Maintenant, les deux sont un rôle de compte croisé et si vous regardez dans l'entité de confiance, c'est le numéro de compte
d'une entité de confiance.
Alors d'abord, faisons une chose.
Passons au rôle normal ici.
Et si vous regardez dans la relation de confiance, si je l'édite rapidement, il s'agit essentiellement d'autoriser
un principal de ce numéro de compte spécifique.
Maintenant, à partir d'un autre navigateur, je suis déjà connecté via un utilisateur de démonstration à ce compte qui a été
approuvé.
Nous allons donc essayer et assumer le rôle pour les deux cas où l'identification externe est requise et l'identification externe n'est pas
requise.
Et cette chose assumera le rôle basé sur l'URL ainsi que l'administrateur.
Alors d'abord, faisons une chose.
C'est parti.
Nous l'URL.
Je vais donc copier l'URL et du navigateur dès que je l'aurai placé dans la barre d'URL.
Cliquez sur Changer de rôle et comme prévu, nous sommes connectés avec succès au compte.
Alors revenons rapidement en arrière.
Super.
C'est donc l'URL.
Maintenant, essayons rapidement via le CLI également.
Donc, à partir du CLA, j'ai déjà une commande prête.
Donc, ce que nous faisons, nous faisons une star e est un rôle de zoom.
Nous fournissons le rôle qui ne nécessite pas l'ID externe et vous avez un nom de session de rôle.
Donc, en gros, pour cette ClA, j'ai l'accès et la clé secrète associés à l'utilisateur de démonstration que j'ai déjà
configuré.
Dès que j'appuie sur la touche Entrée ici, vous devriez voir que vous avez une clé d'accès secrète, le jeton de session
ainsi que l'ID d'accès que j'ai généré.
Ainsi, pour ce rôle spécifique, l'accès GI et l'accès CCT fonctionnent comme prévu.
Reprenons donc les rôles et descendons un peu plus bas cette fois.
Ouvrons l'appel de rôle ID externe.
Maintenant, si vous examinez la relation de confiance, la relation de confiance globale reste similaire à
celle du rôle précédent.
Cependant, il y a une condition supplémentaire qui est spécifiée ici, et la condition
est lorsqu'une chaîne est égale à SDS, external ID, qui est 090295.
Cela signifie donc essentiellement que toute personne souhaitant assumer le rôle doit fournir cet identifiant externe
spécifique, sans lequel l'assomption du rôle ne fonctionnera pas.
Alors essayons.
Maintenant, avant de faire cela, si nous regardons la documentation associée au rôle
supposé, allons un peu plus bas.
Il y a donc ici une option spécifique où vous pouvez spécifier l'ID externe et c'est quelque chose dont nous aurons
besoin.
Donc, dans un premier temps, essayons d'assumer ce rôle sans donner d'identité externe.
Je vais donc effacer l'écran.
Allons-y et remplaçons l'administrateur.
Maintenant, dès que vous appuyez sur entrée, vous voyez, vous avez immédiatement une erreur ici.
Maintenant, faisons une chose.
Essayons de spécifier l'ID externe.
Le dis 090295.
Maintenant, dès que vous ajoutez l'ID externe, vous voyez que les choses fonctionnent comme prévu.
Très bien.
J'espère donc que vous avez compris pourquoi une identification externe est nécessaire.
Or, dans ce cas, même si un compte attaquant entre dans votre rôle au sein de l'application qui est fournie par
le compte Service Corp, le compte Service Corp ne pourra pas assumer le rôle puisque
l'ID externe n'est pas fourni.
Maintenant, il est très important de se rappeler que l'identification externe ne fonctionne que lorsque vous assumez
le rôle via le CLA ou le SDHC.
Cela ne fonctionnera pas si vous le faites par le biais du navigateur.
Laissez-moi vous montrer rapidement ce que je vais faire, je vais donc copier cette URL et la saisir rapidement ici.
Essayons donc d'inverser le rôle.
Et vous voyez que vous avez une erreur disant que des informations invalides dans un ou plusieurs champs.
C'est donc l'erreur que vous obtiendrez typiquement pour le rôle qui nécessite une identification externe.
Maintenant, avant de conclure, laissez-moi vous montrer comment vous pouvez créer un rôle avec un ID externe.
Les étapes générales sont donc très similaires.
Alors faisons une chose.
Allons-y et créons un rôle avec un autre compte dans l'ID du compte.
Vous pouvez spécifier l'idée de compte d'un compte de destination et tout ce que vous avez à faire est de sélectionner
la première option, qui nécessite l'ID externe ou vous êtes dans la fourchette.
Vous voyez, c'est une bonne pratique lorsqu'un tiers assume ce rôle.
Cela ressemble donc beaucoup au diagramme de défi dont nous discutons, où l'importance de l'identification
externe entre en jeu principalement lorsque vous utilisez un service tiers.
Une fois que vous avez sélectionné cette option, vous devez spécifier l'ID externe.
Donc, selon ce que vous avez l'intention de faire, vous pouvez juste spécifier l'ID externe ici et une fois que vous pouvez
passer à la suite.
Évitons la politique pour l'instant.
Et appelons ça une température à tiret C.
Donc, à partir de la console, si vous regardez rapidement ce rôle et si vous regardez la relation
de confiance ou vous devriez voir que vous avez une relation de confiance avec une condition spécifique où la chaîne est égale à
l'ID externe que vous avez fourni.
Super.
Avant de conclure, révisons rapidement les deux points importants.
La première est qu'une fois l'ID externe défini, lorsqu'une personne utilise le CLI ou l'API pour assumer le rôle, elle
doit fournir un ID externe.
Deuxièmement, vous ne pouvez pas changer de rôle à la console pour un rôle qui est une condition d'identification externe dans la politique de confiance,
donc la console ne peut pas être utilisée.
Vous devez utiliser des options telles que CLI, SDK, etc.
Voilà pour l'aperçu général de l'identification externe.
J'espère que cette vidéo a été instructive pour vous et j'ai hâte de vous voir dans la prochaine vidéo.