Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Descripción del token de identidad (ID)

El token de ID es un JSON web token (JWT) que contiene notificaciones acerca de la identidad del usuario autenticado, como por ejemplo, name, email y phone_number. Puede utilizar esta información de identidad dentro de la aplicación. El token de ID también puede utilizarse para autenticar a los usuarios en sus servidores de recursos o aplicaciones de servidor. También puede usar un token de ID fuera de la aplicación con sus operaciones de API web. En esos casos, debe verificar la firma del token de ID antes de poder confiar en las notificaciones que contiene. Consulte Verificación de tokens web JSON.

Puede usar cualquier valor de entre 5 minutos y 1 día para establecer el vencimiento del token de ID. Puede configurar este valor por cliente de aplicación.

El token de identificación incluye las amr afirmaciones acr y, que describen el nivel de autenticación que cumplió el usuario y los métodos que completó. Para obtener más información, consulte Declaraciones sobre los tokens ACR y AMR.

Cabecera del token de identificación

El encabezado contiene dos bloques de información: el ID de clave (kid) y el algoritmo (alg).

{
"kid" : "1234example=",
"alg" : "RS256"
}

Carga útil predeterminada del token de ID

Este es un ejemplo de carga útil de un token de ID. Contiene notificaciones sobre el usuario autenticado. Para obtener más información acerca de las notificaciones estándar de OpenID Connect (OIDC), consulte la lista OIDC standard claims. Puede añadir notificaciones de diseño propio con un Desencadenador de Lambda anterior a la generación del token.

Esta carga útil es representativa, no exhaustiva. El conjunto de afirmaciones de un token de Amazon Cognito ID aumenta con el tiempo a medida que las nuevas funciones añaden nuevas afirmaciones, por lo que las afirmaciones que contienen tus fichas pueden diferir de las de este ejemplo. Trate este ejemplo como una instantánea de las reclamaciones habituales en lugar de una lista completa y fija, y léalo ¿Cómo analizar este token de forma segura antes de escribir código que analice los tokens de Amazon Cognito.

<header>.{
    "sub": "aaaaaaaa-bbbb-cccc-dddd-eeeeeeeeeeee",
    "cognito:groups": [
        "test-group-a",
        "test-group-b",
        "test-group-c"
    ],
    "email_verified": true,
    "cognito:preferred_role": "arn:aws:iam::111122223333:role/my-test-role",
    "iss": "https://cognito-idp.us-west-2.amazonaws.com/us-west-2_example",
    "cognito:username": "my-test-user",
    "middle_name": "Jane",
    "nonce": "abcdefg",
    "origin_jti": "aaaaaaaa-bbbb-cccc-dddd-eeeeeeeeeeee",
    "cognito:roles": [
        "arn:aws:iam::111122223333:role/my-test-role"
    ],
    "aud": "xxxxxxxxxxxxexample",
    "identities": [
        {
            "userId": "amzn1.account.EXAMPLE",
            "providerName": "LoginWithAmazon",
            "providerType": "LoginWithAmazon",
            "issuer": null,
            "primary": "true",
            "dateCreated": "1642699117273"
        }
    ],
    "event_id": "64f513be-32db-42b0-b78e-b02127b4f463",
    "token_use": "id",
    "auth_time": 1676312777,
    "exp": 1676316377,
    "iat": 1676312777,
    "jti": "aaaaaaaa-bbbb-cccc-dddd-eeeeeeeeeeee",
    "email": "my-test-user@example.com"
}
.<token signature>

El token de ID puede contener notificaciones estándar de OIDC definidas en las notificaciones estándar de OIDC. También puede contener atributos personalizados que se definen en el grupo de usuarios. Amazon Cognito escribe valores de atributos personalizados en el token de ID como cadenas, independientemente del tipo de atributo.

¿Cómo analizar este token de forma segura

La afirmación establecida en un token de Amazon Cognito ID no es fija. Las afirmaciones que contiene un token varían según el flujo de autenticación, la pertenencia al grupo del usuario y el proveedor de identidad. También dependen de las funciones que estén habilitadas en el grupo de usuarios. La especificación OpenID Connect solo requiereiss,, y sub aud expiat, y están presentes en todos los tokens de Amazon Cognito ID. Amazon Cognito también añade token_use siempre el valorid, que debe comprobar para confirmar que ha recibido un token de identificación en lugar de un token de acceso. Trate todas las demás solicitudes como opcionales y supeditadas a la forma en que el usuario se haya autenticado.

El token de ID es uno de los varios tipos de token de Amazon Cognito y se aplican las mismas reglas de análisis a todos ellos. Para obtener más información sobre cómo analizar los tokens de forma segura, consulte. Analice los tokens del grupo de usuarios de forma segura

Ejemplos de tokens de ID por escenario

Carga útil predeterminada del token de IDCombina muchos reclamos opcionales en un solo ejemplo. En la práctica, los reclamos que conlleva un token dependen de la forma en que el usuario haya iniciado sesión. En los siguientes ejemplos, se muestran las combinaciones de notificaciones que Amazon Cognito emite en cuatro escenarios comunes. Cada ejemplo es una carga útil decodificada, no un JWT firmado y serializado: se trata de un token realheader.payload.signature, codificado en base64url y con la clave de su grupo de usuarios. RS256-signed Los valores del ID del grupo de usuarios sub y de la marca de tiempo son marcadores de posición ilustrativos.

Símbolo de identificación de código de autorización básico

El token de identidad que consumen la mayoría de las aplicaciones después de intercambiar un código de autorización en el punto final del token. El token_use valor de lo id distingue de un token de acceso. La nonce afirmación se debe a que el cliente envió un nonce parámetro en la solicitud de autorización para evitar los ataques de repetición.

{
    "sub": "a1b2c3d4-5678-90ab-cdef-1234567890ab",
    "iss": "https://cognito-idp.us-east-1.amazonaws.com/us-east-1_ExAmPlE",
    "aud": "6o7h8i9jexampleclientid",
    "cognito:username": "my-test-user",
    "email": "my-test-user@example.com",
    "email_verified": true,
    "origin_jti": "aaaaaaaa-bbbb-cccc-dddd-eeeeeeeeeeee",
    "token_use": "id",
    "auth_time": 1759345200,
    "iat": 1759345200,
    "exp": 1759348800,
    "jti": "11112222-3333-4444-5555-666677778888",
    "nonce": "n-0S6_WzA2Mj"
}

Pertenencia a grupos y roles

Amazon Cognito añade las notificaciones de autorización de grupos y roles cuando el usuario pertenece a uno o más grupos de grupos de usuarios. Las cognito:roles afirmaciones cognito:groups y son matrices; léelas como matrices aunque contengan un solo elemento. cognito:preferred_rolees una cadena única.

{
    "sub": "a1b2c3d4-5678-90ab-cdef-1234567890ab",
    "iss": "https://cognito-idp.us-east-1.amazonaws.com/us-east-1_ExAmPlE",
    "aud": "6o7h8i9jexampleclientid",
    "cognito:username": "my-test-user",
    "cognito:groups": ["admins", "beta-testers"],
    "cognito:roles": ["arn:aws:iam::111122223333:role/my-test-role"],
    "cognito:preferred_role": "arn:aws:iam::111122223333:role/my-test-role",
    "origin_jti": "aaaaaaaa-bbbb-cccc-dddd-eeeeeeeeeeee",
    "token_use": "id",
    "auth_time": 1759345200,
    "iat": 1759345200,
    "exp": 1759348800,
    "jti": "11112222-3333-4444-5555-666677778888"
}

Inicio de sesión federado

El usuario que haya iniciado sesión a través de un proveedor de identidad externo, como una red social o un SAML/OIDC proveedor, lleva la identities afirmación, que describe el enlace del proveedor externo.

{
    "sub": "a1b2c3d4-5678-90ab-cdef-1234567890ab",
    "iss": "https://cognito-idp.us-east-1.amazonaws.com/us-east-1_ExAmPlE",
    "aud": "6o7h8i9jexampleclientid",
    "cognito:username": "LoginWithAmazon_amzn1.account.EXAMPLE",
    "identities": [
        {
            "userId": "amzn1.account.EXAMPLE",
            "providerName": "LoginWithAmazon",
            "providerType": "LoginWithAmazon",
            "issuer": null,
            "primary": "true",
            "dateCreated": "1642699117273"
        }
    ],
    "origin_jti": "aaaaaaaa-bbbb-cccc-dddd-eeeeeeeeeeee",
    "token_use": "id",
    "auth_time": 1759345200,
    "iat": 1759345200,
    "exp": 1759348800,
    "jti": "11112222-3333-4444-5555-666677778888"
}

Fuerza de autenticación (ACR y AMR)

Cuando su grupo de usuarios informa del nivel de autenticación alcanzado por el usuario, Amazon Cognito añade las notificaciones acr yamr. El siguiente token proviene de un usuario que se autenticó con una contraseña y un TOTP desde una aplicación de autenticación, que es el nivel más alto. Cada token contiene exactamente uno de los niveles posibles. acr Para ver el conjunto fijo de niveles, las combinaciones de factores que satisfacen cada uno y la lista completa de amr valores, consulteNiveles de autenticación con afirmaciones de ACR y AMR.

{
    "sub": "a1b2c3d4-5678-90ab-cdef-1234567890ab",
    "iss": "https://cognito-idp.us-east-1.amazonaws.com/us-east-1_ExAmPlE",
    "aud": "6o7h8i9jexampleclientid",
    "cognito:username": "my-test-user",
    "acr": "urn:cognito:loa:4",
    "amr": ["pwd", "otp", "mfa"],
    "origin_jti": "aaaaaaaa-bbbb-cccc-dddd-eeeeeeeeeeee",
    "token_use": "id",
    "auth_time": 1759345200,
    "iat": 1759345200,
    "exp": 1759348800,
    "jti": "11112222-3333-4444-5555-666677778888"
}

Para solicitar un nivel de autenticación se requiere el plan de funciones Essentials o Plus. Amazon Cognito calcula amr las reclamaciones acr y no las puede modificar un activador Lambda previo a la generación del token. La aplicación es responsable de traducir los niveles de Amazon Cognito a otro estándar, como el NIST o el eIDAS.

Identificador, token, firma

La firma del token de ID se calcula en función del encabezado y la carga útil del token JWT. Antes de aceptar las reclamaciones en cualquier token de ID que reciba su aplicación, verifique la firma del token. Para obtener más información, consulte Verificar un token web JSON. Verificación de tokens web JSON.