Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.
Situaciones comunes de Amazon Cognito
En este tema se describen siete escenarios comunes para usar Amazon Cognito.
Los dos componentes principales de Amazon Cognito son los grupos de usuarios y los grupos de identidades. Los grupos de usuarios son directorios de usuarios que proporcionan opciones de registro y de inicio de sesión para los usuarios de la aplicación web y la móvil. Los grupos de identidades proporcionan AWS credenciales temporales para que sus usuarios puedan acceder a otros Servicios de AWS.
Un grupo de usuarios es un directorio de usuarios en Amazon Cognito. Los usuarios de la aplicación pueden iniciar sesión directamente a través de un grupo de usuarios o pueden federarse a través de un proveedor de identidades (IdP) externo. El grupo de usuarios gestiona la sobrecarga de gestión de los tokens que se devuelven al iniciar sesión en redes sociales a través de Facebook, Google, Amazon y Apple, y desde OpenID Connect (OIDC) y SAML. IdPs Tanto si los usuarios inician sesión directamente o a través de un tercero, todos los miembros del grupo de usuarios tienen un perfil de directorio al que puede obtener acceso a través de un SDK.
Con un grupo de identidades, los usuarios pueden obtener AWS credenciales temporales para acceder a AWS servicios, como Amazon S3 y DynamoDB. Los grupos de identidades admiten usuarios invitados anónimos, así como la federación a través de terceros. IdPs
Temas
Autenticar con un grupo de usuarios
Puede permitir que los usuarios se autentiquen con un grupo de usuarios. Los usuarios de la aplicación pueden iniciar sesión directamente a través del grupo de usuarios o pueden federarse a través de un proveedor de identidades (IdP) externo. El grupo de usuarios gestiona la sobrecarga de gestión de los tokens que se devuelven al iniciar sesión en redes sociales a través de Facebook, Google, Amazon y Apple, y desde OpenID Connect (OIDC) y SAML. IdPs
Tras una autenticación correcta, su aplicación web o móvil recibe los tokens del grupo de usuarios de Amazon Cognito. Puede usar esos tokens para recuperar AWS las credenciales que permiten a su aplicación acceder a otros AWS servicios, o puede optar por usarlos para controlar el acceso a los recursos del lado del servidor o a Amazon API Gateway.
Para obtener más información, consulte Un ejemplo de sesión de autenticación y Descripción de los tokens web JSON (JWT) de los grupos de usuarios.
Acceso a los recursos de backend con tokens de grupos de usuarios
Tras iniciar sesión correctamente en el grupo de usuarios, su aplicación web o móvil recibirá los tokens del grupo de usuarios de Amazon Cognito. Puede utilizar los tokens para controlar el acceso a los recursos del lado del servidor. También puede crear conjuntos de grupos de usuarios para administrar permisos y representar diferentes tipos de usuarios. Para obtener más información sobre el uso de grupos para controlar el acceso a los recursos, consulte Agregar grupos a un grupo de usuarios.
Después de configurar un dominio para el grupo de usuarios, Amazon Cognito aprovisiona una IU web alojada que le permite agregar páginas de registro e inicio de sesión a la aplicación. Con esta base de OAuth 2.0, puede crear su propio servidor de recursos y permitir que los usuarios obtengan acceso a los recursos protegidos. Para obtener más información, consulte Ámbitos, M2M y servidores de recursos.
Para obtener más información sobre la autenticación de grupos de usuarios, consulte Un ejemplo de sesión de autenticación y Descripción de los tokens web JSON (JWT) de los grupos de usuarios.
Acceso a los recursos con API Gateway y Lambda mediante un grupo de usuarios
Puede habilitar a los usuarios para que accedan a la API a través de API Gateway. API Gateway valida los tokens a partir de una autenticación correcta de grupos de usuarios y los utiliza para conceder acceso a sus usuarios a los recursos, incluidas las funciones de Lambda o su propia API.
Puede utilizar grupos en un grupo de usuarios a fin de controlar permisos con API Gateway al mapear membresías de grupo a roles de IAM. Los grupos a los que pertenece un usuario están incluidos en el token de ID proporcionado por un grupo de usuarios cuando el usuario de la aplicación inicia sesión. Para obtener más información sobre los grupos de grupos de usuarios, consulte. Agregar grupos a un grupo de usuarios
Puede enviar sus tokens de grupo de usuarios con una solicitud a API Gateway para que los verifique una función de Lambda del autorizador de Amazon Cognito. Para obtener más información acerca de API Gateway, consulte Uso de API Gateway con grupos de usuarios de Amazon Cognito.
Acceso AWS servicios con un grupo de usuarios y un grupo de identidades
Tras una autenticación correcta del grupo de usuarios, la aplicación recibe los tokens del grupo de usuarios de Amazon Cognito. Puede cambiarlos por un acceso temporal a otros AWS servicios con un grupo de identidades. Para obtener más información, consulte Acceso Servicios de AWS usar un grupo de identidades después de iniciar sesión y Introducción a los grupos de identidades de Amazon Cognito.
Autenticate con un tercero y accede AWS servicios con un grupo de identidades
Puede permitir que sus usuarios accedan a los AWS servicios a través de un grupo de identidades. Un grupo de identidades requiere un token de proveedor de identidad de un usuario que se haya autenticado mediante un proveedor de identidad de terceros (o nada si se trata de un invitado anónimo). A cambio, el grupo de identidades otorga AWS credenciales temporales que puede usar para acceder a otros AWS servicios. Para obtener más información, consulte Introducción a los grupos de identidades de Amazon Cognito.
Acceso AWS AppSync recursos con Amazon Cognito
Puede conceder a sus usuarios acceso a los AWS AppSync recursos con los tokens de una autenticación correcta del grupo de usuarios de Amazon Cognito. Para obtener más información, consulte la autorización de AMAZON_COGNITO_USER_POOLS en la Guía para desarrolladores de AWS AppSync .
También puedes firmar las solicitudes a la API de AWS AppSync GraphQL con las credenciales de IAM que recibas de un grupo de identidades. Consulte Autorización AWS_IAM.
Autoriza aplicaciones de máquina a máquina (M2M)
Con la autorización de máquina a máquina (M2M), una aplicación, servicio o dispositivo puede autenticarse por sí mismo y obtener acceso autorizado a sus API, sin necesidad de que un usuario inicie sesión. Amazon Cognito autoriza una aplicación en lugar de un usuario y solo emite un token de acceso, sin un token de ID ni un token de actualización. Este es el modelo para cargas de trabajo, como una aplicación que recopila datos de forma autónoma de una flota de dispositivos de Internet de las cosas (IoT), donde cada dispositivo se conecta a su API y envía los datos sin intervención humana.
Para habilitar la autorización M2M, cree un cliente de aplicación que tenga un secreto de cliente y actívelo para la concesión. client_credentials La identidad de su máquina solicita los tokens del servidor de autorización y los presenta al servidor de recursos. Para obtener más información, consulte Machine-to-machine autorización (M2M) y Punto de conexión de token.
Step-up authentication
Considere una aplicación bancaria que permita a los usuarios iniciar sesión con un nombre de usuario y una contraseña. Para realizar una transferencia bancaria, la aplicación requiere una autenticación multifactor (MFA). Cuando un usuario intenta realizar una transferencia, la aplicación inspecciona la acr afirmación en los tokens de acceso e ID del usuario, determina que el nivel de autenticación es insuficiente y redirige al usuario a Amazon Cognito para completar la MFA. A continuación, Amazon Cognito emite un nuevo token con un nivel de autenticación elevado y la aplicación permite la transferencia.
Antes de redirigir a un usuario a Amazon Cognito para una autenticación avanzada, evalúe los tokens que ya contiene la aplicación. Compare la auth_time afirmación con la antigüedad máxima que permite la operación y compare el acr nivel del token con el nivel que requiere la operación. Redirija al usuario a Amazon Cognito para completar el flujo de autenticación solo cuando aún no se haya alcanzado el nivel de autenticación o la actualización requeridos.
Para obtener más información sobre los niveles de ACR, los valores de AMR y otros conceptos de autenticación avanzada, consulte. Niveles de autenticación con afirmaciones de ACR y AMR Para conocer la mecánica de solicitar una autenticación escalonada, consulte Step-up autenticación con el flujo USER_AUTH el USER_AUTH flujo Autorizar punto de conexión y Punto de conexión Login el inicio de sesión gestionado.
