Configurer AWS Cognito avec Auth0 B2B Connect

Amazon Cognito est un service de gestion des identités de calibre entreprise offert par Amazon Web Services (AWS) qui assure l’authentification, l’autorisation et la fédération des utilisateurs pour les applications Web et mobiles. Configurez Amazon Cognito pour qu’il se fédère à Auth0 B2B Connect comme OpenID Connect (OIDC) ou SAML 2.0 fournisseur d’identité afin d’ajouter l’authentification unique d’entreprise (SSO) à votre Cognito User Pool existant.

​

Le fonctionnement de l’authentification

1. L’utilisateur amorce la connexion dans votre application.
2. L’application envoie une demande d’authentification à Amazon Cognito.
3. Amazon Cognito reconnaît qu’il s’agit d’un utilisateur d’entreprise et achemine la demande vers Auth0 B2B Connect.
4. Auth0 B2B Connect envoie une demande d’authentification au fournisseur d’identité d’entreprise de l’utilisateur (par exemple, Okta ou Microsoft Entra ID) au moyen de SAML ou d’OpenID Connect (OIDC).
5. L’utilisateur s’authentifie auprès du fournisseur d’identité d’entreprise avec ses informations d’identification d’entreprise.
6. Le fournisseur d’identité d’entreprise renvoie une assertion SAML ou un jeton OIDC à Auth0 B2B Connect.
7. Auth0 B2B Connect effectue la découverte de domaine et transmet le résultat de la fédération à Amazon Cognito.
8. Amazon Cognito émet un jeton à l’application.
9. L’application valide le jeton, initialise sa session et accorde l’accès à l’utilisateur.

​

Informations requises

• Un locataire Auth0 avec B2B Connect - Enterprise activé
• Une Auth0 Organization dont la découverte de domaine est activée vers une connexion d’entreprise (par exemple, Okta). Pour en savoir plus, lisez Créer des domaines d’Organization.
• Un compte AWS avec un Amazon Cognito User Pool actif
• Un client d’application Cognito configuré avec un Cognito Domain actif

​

Configurer Auth0 B2B Connect

Pour créer une nouvelle intégration B2B Connect :

1. Accédez à Auth0 Dashboard > Applications > B2B Connect et sélectionnez +Créer une intégration pour lancer l’assistant B2B Connect.
2. Saisissez un Nom d’intégration (par exemple, « AWS Cognito »).
3. Sous Type d’intégration, sélectionnez Serveur d’autorisation géré par un tiers.
4. Sélectionnez Continuer.
5. Sous Protocole d’authentification, indiquez de quelle façon votre serveur d’authentification prend en charge la fédération : OIDC ou SAML.
6. Sélectionnez Continuer.

​

Sélectionner et configurer le protocole d’authentification

Dans l’assistant, vous avez le choix entre OIDC et SAML. Sélectionnez votre protocole d’authentification, puis suivez les étapes de configuration.

​

Configurer AWS Cognito

​

Ajouter un fournisseur d’identité externe

Dans la console AWS Cognito, sélectionnez votre groupe d’utilisateurs. Allez à Authentication dans le panneau de navigation de gauche, puis sélectionnez Social and external providers. Sélectionnez ensuite Add identity provider.

​

Configurer le mappage des attributs (recommandé)

Le mappage des attributs relie les attributs d’identité des utilisateurs provenant d’Auth0 aux enregistrements d’utilisateurs locaux de votre Cognito User Pool. Ainsi, les adresses de courriel et les noms sont provisionnés automatiquement.

1. Sous Attribute mapping, sélectionnez Edit, puis associez les attributs d’utilisateur requis par votre application :
   • OIDC : associez username à sub et email à email
   • SAML : associez email à http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress
2. Sélectionnez Save changes.

​

Permettre aux utilisateurs de se connecter avec le fournisseur d’identité

1. Dans la console AWS Cognito, sélectionnez votre groupe d’utilisateurs, rendez-vous à Applications dans le menu de gauche, sélectionnez App clients, puis choisissez votre application.
2. Sélectionnez l’onglet Login pages, puis cliquez sur Edit.
3. Sous Identity providers, sélectionnez votre fournisseur d’identité (par exemple, « Auth0 ») dans la liste déroulante.
4. Cliquez sur Save changes.

​

Vérifier le fournisseur d’identité

1. Ouvrez la page de connexion de votre application et vérifiez qu’un bouton Continue with Auth0 s’affiche et vous redirige bien vers Auth0.
2. À l’écran de connexion Auth0, saisissez votre adresse courriel. La découverte de domaine Auth0 se déclenche et vous redirige vers votre IdP en amont pour terminer l’authentification.

​

Redirection silencieuse OIDC (optionnelle)

Pour contourner les pages de connexion d’AWS Cognito et d’Auth0 et acheminer silencieusement les utilisateurs vers l’IdP de leur entreprise, configurez votre application afin qu’elle transmette login_hint et idp_identifier dans la requête d’autorisation.

1. Modifiez votre application pour y ajouter un champ de saisie d’adresse de courriel. À la soumission du formulaire, extrayez le courriel et transmettez login_hint ainsi que idp_identifier dans la requête d’autorisation envoyée à AWS Cognito :
   const params = new URLSearchParams({
     response_type: 'code',
     client_id: 'YOUR_COGNITO_APP_CLIENT_ID',
     redirect_uri: 'YOUR_REDIRECT_URI',
     scope: 'openid profile email',
     identity_provider: 'Auth0',
     login_hint: userEmail,
     idp_identifier: userEmail.split('@')[1],
   });
   
   window.location.href =
     `https://YOUR_AWS_COGNITO_DOMAIN/oauth2/authorize?${params}`;
   
2. Dès lors, votre application transmet login_hint et idp_identifier à AWS Cognito, qui effectue une redirection silencieuse à travers AWS Cognito et Auth0, pour aboutir directement sur l’IdP d’entreprise en amont.