Heroin.
Und willkommen zurück.
Im heutigen Video werden wir über die externe ID sprechen.
Die externe ID ist ein Datenelement, das an die angenommene Rollen-API des Sicherheitstoken-Dienstes übergeben werden
kann.
Der allgemeine Zweck des externen Ausweises lässt sich anhand der vorliegenden Animation erklären.
Auf der linken Seite finden Sie ein Konto mit der Bezeichnung Beispielkonto.
Im Grunde gibt es hier also drei Konten, die insgesamt drei verschiedenen Einrichtungen gehören.
Innerhalb des Beispielkontos haben Sie nun eine Cross-Account-Rolle, über die sich die IAM-Benutzer des Service-Corp-Kontos
anmelden können.
Dies ist also die kontoübergreifende Regel, die vorhanden ist, und Sie haben auch ein Angreiferkonto.
Dieses Service-Corp-Konto stellt also den Dienst sowohl für das Beispielkonto als auch für das Angreiferkonto
bereit.
Sobald die kontoübergreifende Regel erstellt wurde, wird der Administrator des Beispielkontos im Wesentlichen
die URL der Rolle sowie den Admin bereitstellen, denn um die Rolle zu übernehmen, benötigen Sie entweder
eine URL oder den n.
Sobald die Administratoren des Beispielkontos diese Details zur Verfügung stellen, können die Benutzer des Service-Corp-Kontos
oder der Anwendung, die im Service-Corp-Konto ausgeführt wird, die Rolle übernehmen und je nach der der Rolle
zugewiesenen Berechtigung auch auf die Ressourcen zugreifen.
Die Herausforderung, die in einem solchen Szenario auftreten kann, besteht darin, dass diese Service-Corp eine Anwendung
als Dienst sowohl für das Beispiel- als auch für das Angreiferkonto bereitstellt, und wenn das Angreiferkonto
die Rollen-URL und das Ende der Rolle des Beispielkontos bereitstellt, wird die Anwendung oder ein Dienst, der im Service-Corp-Konto
ausgeführt wird, diese URL verwenden, um die Rolle zu übernehmen und auf den Dienst zuzugreifen.
Im Wesentlichen wird also das Konto des Angreifers betroffen sein.
Wenn er in der Lage ist, das Ende dieser spezifischen Rolle zu erraten, kann er sie der Anwendung angeben, die vom Service-Corp-Konto
bereitgestellt wurde, um auf die Ressource des Beispielkontos zuzugreifen.
Dies ist also die allgemeine Herausforderung, der sich viele Organisationen stellen müssen.
Um dieses Problem zu lösen, verwenden wir eine externe ID. Die externe ID ist also ein zusätzliches Datenelement, das Sie neben der
Rolle, in der sie sich befinden, zur Verfügung stellen, um die Rolle zu übernehmen.
Das ist also der grobe Überblick über die Notwendigkeit einer externen ID.
Lassen Sie uns also eine Sache tun.
Um dies besser zu verstehen, sollten wir schnell eine Demo machen.
Innerhalb des achten Dienstkontos werden also zwei Rollen erstellt.
Eine ist eine normale Rolle und die zweite ist die Rolle, die eine externe ID verwendet.
Bei beiden handelt es sich um eine kontoübergreifende Rolle, und wenn Sie sich die vertrauenswürdige Einrichtung ansehen, ist dies die Kontonummer einer
vertrauenswürdigen Einrichtung.
Lassen Sie uns also zunächst eine Sache tun.
Gehen wir hier zur normalen Rolle über.
Und wenn man sich die Treuhandbeziehung ansieht, wenn ich sie schnell bearbeite, ist es im Grunde so, dass ein Auftraggeber von
dieser bestimmten Kontonummer zugelassen wird.
Von einem anderen Browser aus bin ich bereits über einen Demo-Benutzer bei dem Konto angemeldet, das als vertrauenswürdig eingestuft
wurde.
Wir werden also versuchen, die Rolle sowohl für den Fall, dass eine externe ID erforderlich ist, als auch für den Fall, dass keine externe ID erforderlich ist, anzunehmen.
Und dieses Ding wird die Rolle übernehmen, die sowohl auf der URL als auch auf dem Admin basiert.
Lassen Sie uns also zunächst eine Sache tun.
Los geht's.
Wir die URL.
Ich kopiere also die URL und aus dem Browser, sobald ich sie in die URL-Leiste eingefügt habe.
Klicken wir auf Rolle wechseln und wie erwartet, sind wir erfolgreich bei dem Konto angemeldet.
Lassen Sie uns also schnell zurückgehen.
Großartig.
Das ist also die URL.
Probieren wir es nun schnell auch über die CLI aus.
Aus dem GAV habe ich also bereits einen Befehl parat.
Was wir also tun, ist eine E-Star- und eine Zoom-Rolle.
Wir stellen die Rolle zur Verfügung, die keine externe ID erfordert, und Sie haben einen Namen für die Rollensitzung.
Für diese ClA habe ich also den Zugang und den geheimen Schlüssel, die mit dem bereits konfigurierten Demo-Benutzer verbunden
sind.
Sobald ich hier die Eingabetaste drücke, sollten Sie sehen, dass Sie einen geheimen Zugangsschlüssel, das Sitzungs-Token sowie die
von mir generierte Zugangskennung haben.
Für diese spezielle Rolle funktionieren also sowohl der GI- als auch der CLA-Zugang wie erwartet.
Kehren wir also zu den Rollen zurück und gehen wir dieses Mal etwas tiefer.
Öffnen wir die Rolle Externe ID aufrufen.
Betrachtet man nun das Vertrauensverhältnis, so bleibt das allgemeine Vertrauensverhältnis ähnlich wie bei
der vorherigen Rolle.
Allerdings gibt es eine zusätzliche Bedingung, die hier angegeben ist, und die Bedingung
ist, wenn eine Zeichenfolge gleich SDS, externe ID, die 090295 ist.
Das bedeutet im Grunde, dass jeder, der die Rolle übernehmen möchte, diese spezifische externe ID angeben
muss, ohne die die Rollenübernahme nicht funktionieren wird.
Probieren wir es also aus.
Bevor wir das tun, sollten wir einen Blick in die Dokumentation werfen, die mit der angenommenen
Rolle verbunden ist.
Hier gibt es also eine spezielle Option, bei der Sie eine externe ID angeben können, und das ist etwas, das wir benötigen.
Versuchen wir also zunächst einmal, diese Rolle zu übernehmen, ohne eine externe Kennung anzugeben.
Ich werde also den Bildschirm löschen.
Ersetzen wir nun den Administrator.
Sobald Sie nun die Eingabetaste drücken, sehen Sie, dass Sie sofort einen Fehler erhalten.
Lassen Sie uns eine Sache tun.
Versuchen wir, die externe ID anzugeben.
Die dis 090295.
Sobald Sie nun die externe ID hinzufügen, sehen Sie, dass die Dinge wie erwartet funktionieren.
Also gut.
Ich hoffe, Sie haben verstanden, warum ein externer Ausweis erforderlich ist.
Selbst wenn ein Angreifer Ihre Rolle in der Anwendung einnimmt, die vom Service-Corp-Konto bereitgestellt
wird, kann das Service-Corp-Konto die Rolle nicht übernehmen, da die externe ID
nicht bereitgestellt wird.
Ein wichtiger Punkt ist, dass die externe ID nur funktioniert, wenn Sie die Rolle über den CLA
oder die SDHC übernehmen.
Es wird nicht funktionieren, wenn Sie es über den Browser tun.
Ich möchte Ihnen das kurz zeigen, also kopiere ich diese URL und gebe sie hier schnell ein.
Lassen Sie uns also versuchen, die Rolle zu tauschen.
Sie sehen, dass Sie eine Fehlermeldung erhalten haben, die besagt, dass in einem oder mehreren Feldern ungültige Informationen enthalten sind.
Das ist also der Fehler, den Sie normalerweise für die Rolle erhalten, die eine externe ID erfordert.
Bevor wir nun zum Schluss kommen, möchte ich Ihnen zeigen, wie Sie eine Rolle mit externer ID erstellen können.
Die allgemeinen Schritte sind also sehr ähnlich.
Lassen Sie uns also eine Sache tun.
Lassen Sie uns fortfahren und eine Rolle mit einem anderen Konto innerhalb der Konto-ID erstellen.
Sie können die Kontovorstellung eines Zielkontos angeben und müssen nur die erste Option auswählen,
die die externe ID erfordert, oder Sie befinden sich innerhalb der Klammer.
Sie sehen, es ist eine bewährte Praxis, wenn ein Dritter diese Aufgabe übernimmt.
Dies ähnelt also sehr dem Diagramm der Herausforderung, das wir erörtert haben, wobei die Bedeutung der
externen ID vor allem dann zum Tragen kommt, wenn Sie einen Dienst eines Drittanbieters verwenden.
Wenn Sie also diese Option auswählen, müssen Sie die externe ID angeben.
Je nachdem, was Sie vorhaben, können Sie hier einfach die externe ID angeben und dann zum nächsten
Schritt übergehen.
Lassen wir die Politik erst einmal außen vor.
Und nennen wir es einfach eine C-Bindestrich-Aushilfe.
Wenn Sie also in der Konsole einen kurzen Blick auf diese Rolle und die Vertrauensbeziehung werfen,
sollten Sie sehen, dass Sie eine Vertrauensbeziehung mit einer bestimmten Bedingung haben, bei der die Zeichenfolge der von Ihnen angegebenen
externen ID entspricht.
Großartig.
Bevor wir also zum Schluss kommen, wollen wir noch einmal kurz die zwei wichtigsten Punkte ansprechen.
Erstens: Sobald die externe ID festgelegt ist, muss jemand, der die CLI oder API verwendet, um die Rolle zu übernehmen,
eine externe ID angeben.
Zweitens können Sie an der Konsole nicht zu einer Rolle wechseln, die eine externe ID-Bedingung innerhalb der Vertrauensrichtlinie ist, so dass
die Konsole nicht verwendet werden kann.
Sie müssen Optionen wie CLI, SDK und so weiter nutzen.
Das ist also der grobe Überblick über die externe ID.
Ich hoffe, dieses Video war informativ für Sie und ich freue mich darauf, Sie im nächsten Video zu sehen.