Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
Autenticazione degli utenti con pool di utenti di Amazon Cognito
Un pool di utenti Amazon Cognito è una directory utente per l'autenticazione e l'autorizzazione di app web e per dispositivi mobili. Dal punto di vista dell'app, un pool di utenti Amazon Cognito è un gestore dell'identità digitale OpenID Connect (OIDC). Un pool di utenti aggiunge ulteriori livelli di funzionalità per la sicurezza, la federazione delle identità, l'integrazione app e la personalizzazione dell'esperienza utente.
Questo capitolo descrive il modo in cui gli utenti si autenticano: registrazione, accesso e i flussi di autenticazione supportati da un pool di utenti, incluso l'accesso tramite provider di identità esterni. Le attività correlate sono trattate nei rispettivi capitoli: gestione degli utenti nella directory, personalizzazione del comportamento con i AWS Lambda trigger e protezione del pool con protezione dalle minacce.
Argomenti
Funzionalità
Di seguito sono riportate le funzionalità dei pool di utenti Amazon Cognito.
Sign-up
I pool di utenti Amazon Cognito dispongono di metodi programmatici, basati sugli utenti e sugli amministratori per aggiungere profili utente al pool di utenti. I pool di utenti di Amazon Cognito supportano i seguenti modelli di iscrizione. Puoi usare qualsiasi combinazione di questi modelli nell'app.
Importante
Se attivi la registrazione dell'utente nel pool di utenti, chiunque su Internet può effettuare la registrazione a un account e accedere alle tue app. Non abilitare la registrazione self-service nel pool di utenti a meno che non desideri aprire l'app alla registrazione pubblica. Per modificare questa impostazione, aggiorna l'Self-service iscrizione nel Sign-upmenu sotto Autenticazione nella console del pool di utenti o aggiorna il valore di AllowAdminCreateUserOnlyin una richiesta CreateUserPoolo UpdateUserPoolAPI.
Per informazioni sulle funzionalità di sicurezza che puoi configurare nei pool di utenti, consulta Protezione dei pool di utenti con protezione dalle minacce.
-
Gli utenti possono inserire le proprie informazioni nell'app e creare un profilo utente nativo per il pool di utenti. Puoi chiamare operazioni di registrazione delle API per registrare gli utenti nel pool di utenti. Puoi aprire queste operazioni di registrazione a chiunque oppure puoi autorizzarle con un segreto o credenziali del client. AWS
-
Puoi reindirizzare gli utenti a un IdP di terze parti che può essere autorizzato a passare le informazioni ad Amazon Cognito. Amazon Cognito elabora i token ID OIDC, i dati
userInfoOAuth 2.0 e le asserzioni SAML 2.0 nei profili utente del pool di utenti. Puoi controllare gli attributi che deve ricevere Amazon Cognito in base alle regole di mappatura degli attributi. -
Puoi saltare l'iscrizione pubblica o federata e creare utenti tu stesso, in base alla tua fonte di dati e al tuo schema, in uno dei seguenti modi:
-
Aggiungi utenti direttamente nella console Amazon Cognito o con l'API.
-
Importa utenti in blocco da un file CSV.
-
Esegui una AWS Lambda funzione just-in-time che cerca ogni nuovo utente in una directory esistente e compila il suo profilo con quei dati.
-
Dopo la registrazione, è possibile aggiungerli ai gruppi elencati da Amazon Cognito nei token di accesso e ID. Puoi anche collegare i gruppi di pool di utenti ai ruoli IAM quando passi il token ID a un pool di identità.
Argomenti correlati
Sign-in
Amazon Cognito può essere una directory utente autonoma e gestore dell'identità digitale per l'app. I tuoi utenti possono accedere con pagine di accesso gestite ospitate da Amazon Cognito o con un servizio di autenticazione utente personalizzato tramite l'API dei pool di utenti di Amazon Cognito. Il livello di applicazione alla base del front-end personalizzato può autorizzare le richieste sul back-end con uno qualsiasi dei diversi metodi per confermare le richieste legittime.
Gli utenti possono configurare e accedere con nomi utente e password, password monouso e password monouso per e-mail e SMS. Puoi offrire l'accesso consolidato con directory utente esterne, l'autenticazione a più fattori (MFA) dopo l'accesso, i dispositivi ricordati attendibili e i flussi di autenticazione personalizzati progettati da te.
Per accedere agli utenti con una directory esterna, facoltativamente combinata con la directory utente integrata in Amazon Cognito, puoi aggiungere le seguenti integrazioni.
-
Accedi e importa i dati degli utenti dei clienti con l'accesso social OAuth 2.0. Amazon Cognito supporta l'accesso con Google, Facebook, Amazon e Apple tramite OAuth 2.0.
-
Accedi e importa i dati degli utenti aziendali e scolastici con l'accesso SAML e OIDC. Puoi anche configurare Amazon Cognito per accettare richieste da qualsiasi gestore dell'identità digitale SAML o OpenID Connect (OIDC).
-
Collega i profili utente esterni ai profili utente nativi. Un utente collegato può accedere con un'identità utente di terze parti e ricevere l'accesso assegnato a un utente nella directory integrata.
Argomenti correlati
Machine-to-machine autorizzazione
Alcune sessioni non sono un'interazione uomo-macchina. Potrebbe essere necessario un account di servizio in grado di autorizzare una richiesta a un'API tramite un processo automatico. Per generare token di accesso per l'autorizzazione da macchina a macchina con ambiti OAuth 2.0, puoi aggiungere un client di app che genera concessioni di credenziali client dall'endpointGetClientToken
Argomenti correlati
Accesso gestito
Se non desideri creare un'interfaccia utente, puoi presentare ai tuoi utenti pagine di accesso gestite personalizzate. L'accesso gestito è un insieme di pagine Web per la registrazione, l'accesso, l'autenticazione a più fattori (MFA) e la reimpostazione della password. Puoi aggiungere l'accesso gestito al tuo dominio esistente o utilizzare un dominio con prefisso in un sottodominio. AWS
L'accesso gestito offre un'alternativa: la classica interfaccia utente ospitata, una versione di prima generazione con un design più semplice e un minor numero di funzionalità. Scegli l'uno o l'altro per il dominio del pool di utenti: non vengono utilizzati insieme. La tabella seguente confronta le due opzioni.
Funzionalità |
Interfaccia utente ospitata classica |
Login gestito |
|---|---|---|
Versione di branding |
Interfaccia utente ospitata (classica) |
Login gestito |
Personalizzazione |
File-based branding (immagine del logo e file di valori CSS) |
Editor visivo di branding nella console Amazon Cognito |
Piani di funzionalità |
Tutti i piani, incluso Lite |
Essentials e Plus |
Accesso con passkey |
Non disponibile |
Disponibilità |
Nota
La classica interfaccia utente ospitata è disponibile in tutti i piani di funzionalità, incluso Lite. L'accesso gestito e il relativo editor di branding richiedono il piano di funzionalità Essentials o Plus. Per ulteriori informazioni, consulta Piani di funzionalità del pool di utenti.
Per configurare l'accesso gestito, completa questi prerequisiti nell'ordine:
-
Crea un pool di utenti. Consulta Crea una nuova applicazione nella console Amazon Cognito.
-
Aggiungi un dominio del pool di utenti (un dominio con prefisso o un dominio personalizzato). Consulta Configurazione di un dominio di bacino d'utenza.
-
Crea un client per l'app e imposta la versione di branding e l'URL di ritorno. Consulta Accesso gestito dal pool di utenti.
Argomenti correlati
Protezione dalle minacce
Proteggi i tuoi utenti dall'indovinazione delle password, dall'acquisizione di account e dal traffico dannoso con l'autenticazione a più fattori (MFA), l'autenticazione adattiva e gli ACL Web. AWS WAF Protezione dei pool di utenti con protezione dalle minacceQueste protezioni sono coperte da.
Esperienza utente personalizzata
Nella maggior parte delle fasi di registrazione, accesso o aggiornamento del profilo, puoi personalizzare il modo in cui Amazon Cognito gestisce la richiesta con trigger Lambda e flussi di autenticazione personalizzati e conferire all'accesso gestito un aspetto familiare. Consulta Personalizzazione di flussi di lavoro di bacini d'utenza con trigger Lambda.
Monitoraggio e analisi
I pool di utenti di Amazon Cognito registrano le richieste API AWS CloudTrail, pubblicano i parametri delle prestazioni su Amazon CloudWatch Logs e monitorano la consegna dei messaggi e il volume delle richieste. Consulta Accesso ad Amazon Cognito AWS CloudTrail.
Integrazione dei pool di identità di Amazon Cognito
L'altra metà di Amazon Cognito è costituita da pool di identità. I pool di identità forniscono credenziali che autorizzano e monitorano le richieste API inviate dai Servizi AWS tuoi utenti, ad esempio ad Amazon DynamoDB o Amazon S3. Puoi creare policy di accesso basate sull'identità che proteggono i dati in base alla classificazione degli utenti nel pool di utenti. I pool di identità possono anche accettare token e asserzioni SAML 2.0 da un'ampia gamma di provider di identità, a prescindere dall'autenticazione del pool di utenti.
Argomenti correlati
