AWS SSO单点登录管理参考指南

SSO服务注册

注册服务是SSO集成外部系统的第一步，每个单点系统对应一个注册配置策略。例如集成一个CRM系统，在这里就需要对应一项有效配置。

管理

配置

1. 获得访问该SSO服务的AWS URL入口

由系统自动生成的AWS URL，可供实施人员部署到导航菜单或希望编程提供的位置。

这个示例中我们假设ssoId的值为xxx-xxx

./w?sid=@sid&cmd=com.actionsoft.apps.addons.sso_access&ssoId=xxx-xxx

2. 扩展参数

如果希望该SSO服务根据不同的参数返回不同的页面，可在自动生成的AWS URL后加上扩展参数ext， 假设ext的值是xxx

./w?sid=@sid&cmd=com.actionsoft.apps.addons.sso_access&ssoId=xxx-xxx&ext=xxx

ext参数将随令牌一并传递给第三方系统。

2. 获得第三方系统在调用SSO API时必须提供的access_key

这是一个36位长度的随机字符串，是分配给第三方系统的安全凭证。当验证令牌、刷新令牌或注销令牌时，必须向AWS的SSO API提供该值。

3. 提供第三方系统用于SSO验证的URL

一个标准的、无状态的URL地址。前缀支持HTTP或HTTPS，如果该URL来自于AWS实例本地，也可以直接使用相对或绝对路径。

该URL用来接收AWS传递的令牌，对令牌进行校验处理，最终提供登录后的页面结果。该URL由第三方系统的开发商提供，可由任意HTTP Server端编程语言开发，如JSP/ASP/PHP/Python。

这是一个随本应用安装后提供的示例

../apps/com.actionsoft.apps.addons.sso/demo-app/login.jsp

4. 自定义参数列表

默认，AWS会向第三方系统的URL提供一个名为tokenId的参数，该参数是用户登录AWS门户后创建的Session串。

如果某个第三方系统需要获得更多组织信息，可通过参数列表进行自定义追加。其中

• 参数名 标准URL参数名，建议不要包含中文字符、空格及怪字符
• 参数值 支持@公式。例如@userName代表当前用户在AWS组织里的姓名

上述自定义的参数将随令牌一并传递给第三方系统的URL程序。

自定义参数与扩展参数的区别在于：

• 自定义参数不需要显式的增加到自动生成的AWS URL后。也就是说直接使用自动生成的AWS URL，第三方系统即可接收到自定义参数。
• 自定义参数适用于参数值固定或者需要通过@公式获取系统、用户相关信息的场景，扩展参数适用于值不固定且与系统、用户信息无关的场景。