如何在AWS Cognito中添加自签名证书对接Spring Boot OIDC身份提供商

当你需要让AWS Cognito信任你的Spring Boot OIDC身份提供商的自签名证书时，按以下步骤操作：

1. 转换自签名证书为PEM格式 #

AWS Cognito仅接受PEM格式的公钥证书，需先将你的JKS格式证书导出为PEM：

keytool -exportcert -keystore oceankeystore.jks -alias [你的证书别名] -file cognito-trust-cert.pem -rfc

替换[你的证书别名]为JKS文件中证书的实际别名，执行后会生成cognito-trust-cert.pem文件。

2. 在Cognito用户池中配置自定义OIDC身份提供商并上传证书 #

• 登录AWS控制台，进入Cognito服务，选择目标用户池。
• 切换到身份提供商标签页，点击添加提供商，选择OpenID Connect类型。
• 填写基本配置：
  • 输入自定义身份提供商名称（比如SpringBoot-OIDC）。
  • 填写Spring Boot OIDC服务的元数据URL（通常是https://your-spring-boot-service/.well-known/openid-configuration），或手动填写授权端点、令牌端点、用户信息端点等。
• 在证书区域，点击上传证书，选择刚才生成的cognito-trust-cert.pem文件。
• 完成配置后点击创建。

此时AWS Cognito会将该自签名证书加入信任列表，在与你的Spring Boot OIDC服务通信时（如获取元数据、验证令牌签名），会自动验证证书有效性，确保HTTPS连接正常建立。

内容的提问来源于stack exchange，提问作者Usman Sajid