amazon-web-services - 用于基于命令行的 SAML2 SSO 的 Azure AD API(用于 AWS 联合登录)

Question

我正在尝试编写一个命令行程序(Go 中的 CLI)，其工作方式应与此类似:

1. 用户将其 Azure AD 用户名/密码凭据提交到 CLI。
2. CLI 使用凭据对 Azure 进行身份验证，Azure 会向最终用户返回 token 或其他质询(例如 MFA)。
3. 如果返回另一个质询，CLI 将等待用户的输入(例如 MFA 代码)并将输入提交到 Azure AD MFA 输入。如果成功，Azure AD 将返回一个 token 。
4. CLI 将返回的 token 和 SAML2 请求提交到 Azure AD SAML 端点，并从 Azure AD 返回 SAML2 响应。
5. 然后，CLI 将 SAML2 响应提交到 AWS SAML 端点并取回 AWS IAM 临时凭证。

谢谢

尤西·C.

Answer 1

不会假装我是这个领域的 super 专家，但我知道的是:
您描述的场景曾经受 Azure AD C# sdk 支持，但已被删除。 Azure AD 确实希望您使用“常规”基于浏览器的登录流程或使用所谓的“设备代码”进行身份验证(在本地尝试 azure cli 以了解其工作原理)。根据目录的设置方式，Azure AD 可能必须将您的请求传递到下游身份验证服务(例如，如果目录是使用 ADFS/saml 身份验证设置的)，而不是自行处理。通过对 cli 中的用户名/密码逻辑进行“硬编码”，您实质上会限制您的工具仅适用于配置为本地身份验证且无需转发的 Azure AD 目录。

总而言之:构建必要的 http 调用并不是非常高级。我最终使用了 Azure Powershell 模块并在本地设置了一个 http 代理，以便我可以检查身份验证调用，这相当简单。此处提供的链接中还有更多信息: ADAL username/password flow in .net standard 1.4