View a markdown version of this page

Le point de terminaison de connexion géré : /login - Amazon Cognito
GET /loginUser-initiated demande de connexionStep-up demande d'authentification

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Le point de terminaison de connexion géré : /login

Le point de terminaison de connexion est un serveur d'authentification et une destination de redirection depuisPoint de terminaison d’autorisation. C'est le point d'entrée de la connexion gérée lorsque vous ne spécifiez pas de fournisseur d'identité. Lorsque vous générez une redirection vers le point de terminaison de connexion, il charge la page de connexion et présente les options d’authentification configurées pour le client à l’utilisateur.

Note

Le point de terminaison de connexion est un composant de la connexion gérée. Dans votre application, appelez des pages de fédération et de connexion gérées qui redirigent vers le point de terminaison de connexion. L’accès direct des utilisateurs au point de terminaison de connexion n’est pas une bonne pratique.

GET /login

Le point de terminaison /login prend en charge uniquement HTTPS GET pour la demande initiale de votre utilisateur. Votre application invoque la page dans un navigateur tel que Chrome ou Firefox. Lorsque vous redirigez vers /login depuis lePoint de terminaison d’autorisation, il transmet tous les paramètres que vous avez fournis dans votre demande initiale. Le point de terminaison de connexion prend en charge tous les paramètres de demande du point de terminaison d’autorisation. Vous pouvez également accéder directement au point de terminaison de connexion. Une bonne pratique consiste à initier toutes les sessions de vos utilisateurs dans /oauth2/authorize.

Exemple : demander à l'utilisateur de se connecter

Cet exemple affiche l’écran de connexion.

GET https://mydomain.auth.us-east-1.amazoncognito.com/login?
                response_type=code&
                client_id=1example23456789&
                redirect_uri=https://YOUR_APP/redirect_uri&
                state=STATE&
                scope=openid+profile+aws.cognito.signin.user.admin
Exemple — réponse

Le serveur d’authentification procède à une redirection vers votre application avec l’état et le code d’autorisation. Le serveur doit renvoyer le code et l’état dans les paramètres de chaîne de requête et non pas dans le fragment.

HTTP/1.1 302 Found
                    Location: https://YOUR_APP/redirect_uri?code=AUTHORIZATION_CODE&state=STATE

User-initiated demande de connexion

Une fois que votre utilisateur a chargé le point de terminaison /login, il peut saisir un nom d’utilisateur et un mot de passe, puis choisir Se connecter. Ce faisant, il génère une demande HTTPS POST avec les mêmes paramètres de demande d’en-tête que la demande GET, ainsi qu’un corps de demande contenant son nom d’utilisateur, son mot de passe et une empreinte digitale d’appareil.

Step-up demande d'authentification

Le /login point de terminaison accepte les paramètres d'URL suivants pour une authentification renforcée. Ces paramètres ont le même comportement que sur le point de terminaison autorisé. Pour plus d'informations sur les niveaux ACR et les valeurs AMR, consultez. Niveaux d'authentification avec les réclamations ACR et AMR

acr_values

Une URL-encoded liste séparée par des espaces d'URI de niveau d'authentification ACR cibles, du plus élevé au plus bas. Amazon Cognito évalue la liste de gauche à droite, applique le premier niveau valide que l'utilisateur peut satisfaire et ignore les valeurs qu'il ne reconnaît pas. Ce paramètre se comporte de la même manière que le paramètre TARGET_ACR_VALUES API. Nécessite le plan de fonctionnalités Essentials ou Plus.

max_age

Nombre entier non négatif qui indique le nombre maximal de secondes écoulées depuis la dernière authentification de l'utilisateur. Si le temps actuel négatif auth_time est supérieur àmax_age, l'utilisateur doit s'authentifier à nouveau en partant de zéro au lieu de simplement passer à la vitesse supérieure. Ce comportement est identique au paramètre de l'MAX_AGEAPI.

Pour un exemple de demande utilisant ces paramètres, consultez le point de terminaison autorisé.

Combinez acr_values avec max_age pour exiger un niveau d'authentification spécifique avec une authentification récente pour une opération sensible.

Le comportement d'un plan de fonctionnalités insuffisant est différent de celui de l'API. Le point de /login terminaison de connexion géré ignore silencieusement acr_values et procède à l'authentification normale, sans erreur. L'API renvoie unFeatureUnavailableInTierException. Pour plus d’informations, consultez Exigences relatives au plan de fonctionnalités.