如何通过 Laravel 使用 AWS Federation Login？

Question

我有一个 laravel 应用程序，我想在其中集成 AWS Federation 登录。 我在 AWS 中正确设置了策略和组。 我希望用户单击一个按钮，然后用户将被重定向到他们已经使用 aws federation 登录的 aws 控制台页面。 我想使用三个变量，AccessKey、SecretKey 和 GroupName。 我如何实现这一目标？ 我应该使用 STS 客户端和 getFederationToken 方法，但我不确定如何完全组合所有内容以获得正确的 SignInToken 并将其传递给。

登录 URL 我正在尝试使用： https://signin.aws.amazon.com/federation?Action=login&SigninToken={SignInToken}&Issuer={Issuer}&Destination={Destination}

我已经正确设置了发行者和目的地，但我似乎无法获得 SignInToken。

    // Create a new AWS STS client
    $client = new StsClient([
        'version' => 'latest',
        'region'  => 'us-west-2',
        'credentials' => [
            'key'    => 'ACCESS_KEY',
            'secret' => 'SECRET_KEY',
        ],
    ]);

    $groupName = 'GROUP_NAME';
    $policy = json_encode([
            'Version' => '2012-10-17',
            'Statement' => [
                [
                    'Effect' => 'Allow',
                    'Action' => '*',
                    'Resource' => '*'
                ]
            ]
        ]);

    $result = $client->getFederationToken(
        [
            'Name' => 'username',
            'Policy' => $policy,
            'DurationSeconds' => 3600,
            'Tags' => [
                [
                    'Key' => 'group',
                    'Value' => $groupName
                ],
            ],
        ]
    );

    $token = $result['Credentials']['SessionToken'];
    $signInToken = urlencode($token);
    $finalUrl = $loginBaseUrl . $signInToken . $issuer . $destination;

这是我的 laravel controller。URL 将我重定向到 AWS 页面，但它说 SignInToken 有问题。

还值得注意的是，我正在尝试从 C# 中的代码翻译它，所以这已经完成并且 AWS 端的设置是正确的，我只是不确定如何生成正确的 signintoken。

Answer 1

使用 composer 为 PHP 安装 AWS SDK：

composer require aws/aws-sdk-php

在您的 controller 中，创建 Aws\Sts\StsClient class 的实例并使用 assumeRoleWithWebIdentity 方法对用户进行身份验证并生成临时安全凭证。

use Aws\Sts\StsClient;

class FederationController extends Controller
{
    public function login(Request $request)
    {
        $client = new StsClient([
            'version' => 'latest',
            'region' => 'us-west-2'
        ]);

        $result = $client->assumeRoleWithWebIdentity([
            'RoleArn' => 'arn:aws:iam::123456789012:role/federated_role',
            'RoleSessionName' => 'session_name',
            'WebIdentityToken' => $request->input('token'),
            'DurationSeconds' => 3600
        ]);

        // Use the temporary security credentials returned by the assumeRoleWithWebIdentity method to access AWS resources.
    }
}

您现在应该拥有经过身份验证的临时安全凭证