Senden Sie benutzerdefinierte Attribute an Amazon Cognito und fügen Sie sie in Token ein

Carlos Alessandro Ribeiro und Mauricio Mendoza, Amazon Web Services

Übersicht

Das Senden von benutzerdefinierten Attributen an einen Amazon Cognito Cognito-Authentifizierungsprozess kann einer Anwendung zusätzlichen Kontext bieten, detailliertere Zugriffskontrollen ermöglichen und die Verwaltung von Benutzerprofilen und Authentifizierungsanforderungen vereinfachen. Diese Funktionen sind in einer Vielzahl von Anwendungen und Szenarien nützlich und können Ihnen helfen, die allgemeine Sicherheit und Funktionalität einer Anwendung zu verbessern.

Dieses Muster zeigt, wie benutzerdefinierte Attribute an einen Amazon Cognito Cognito-Authentifizierungsprozess gesendet werden, wenn eine Anwendung zusätzlichen Kontext für das Zugriffstoken oder das Identitätstoken (ID) bereitstellen muss. Sie verwenden die Datei Node.js als Backend-Anwendung. Die Anwendung authentifiziert einen Benutzer aus einem Amazon Cognito Cognito-Benutzerpool und übergibt benutzerdefinierte Attribute, die für die Token-Generierung benötigt werden. Sie können AWS Lambda Trigger für Amazon Cognito verwenden, um Ihren Authentifizierungsprozess ohne größere Code-Anpassungen oder großen Aufwand anzupassen.

Voraussetzungen und Einschränkungen

Voraussetzungen

Einschränkungen

Architektur

Zielarchitektur

Das folgende Diagramm zeigt die Zielarchitektur für dieses Muster. Es zeigt auch, wie die Anwendung Node.js mit einem Backend zusammenarbeiten könnte, um Datenbanken zu aktualisieren. Die Backend-Datenbankaktualisierungen fallen jedoch nicht in den Geltungsbereich dieses Musters.

Das Diagramm zeigt den folgenden Workflow:

Automatisierung und Skalierung

Sie können die Bereitstellung von Amazon Cognito Cognito-Benutzerpools, AWS Lambda Funktionen, Datenbank-Instances und anderen Ressourcen automatisieren AWS CloudFormation, indem Sie das AWS Cloud Development Kit (AWS CDK) HashiCorp Terraform - oder ein anderes unterstütztes Infrastructure-as-Code-Tool (IaC) verwenden. Wenn Sie Ihre Bereitstellungen skalieren möchten, verwenden Sie CI/CD-Pipelines (Continuous Integration and Continuous Delivery), um Fehler im Zusammenhang mit manuellen Bereitstellungen zu vermeiden.

Tools

AWS-Services

Andere Tools

Bewährte Methoden

Wir empfehlen Ihnen, die folgenden bewährten Methoden zu implementieren:

Weitere bewährte Methoden finden Sie unter Bewährte Sicherheitsmethoden für Amazon Cognito Cognito-Benutzerpools in der Amazon Cognito Cognito-Dokumentation.

Epen

aws cognito-idp sign-up \
   --client-id <ClientID> \
   --username <jane@example.com> \
   --password <PASSWORD> \
   --user-attributes Name="email",Value="<jane@example.com>" Name="name",Value="<Jane>"

export USERNAME="<COGNITO_USER_NAME>"
export PASSWORD="<COGNITO_USER_PASSWORD>"
export USER_POOL_ID="<COGNITO_USER_ID>"
export CLIENT_ID="<COGNITO_CLIENT_ID>"

npm run build
npm start

Fehlerbehebung

Zugehörige Ressourcen

Zusätzliche Informationen

TypeScript Beispieldatei

Das folgende Codebeispiel ist eine TypeScript Datei, die den Authentifizierungsprozess mithilfe eines AWS SDK aufruft, um benutzerdefinierte Attribute an Amazon Cognito zu senden:

import * as AmazonCognitoIdentity from "amazon-cognito-identity-js";

const userPoolId: string = process.env.USER_POOL_ID ?? '';
const clientId: string = process.env.CLIENT_ID ?? '';

const poolData = {
  UserPoolId: userPoolId,
  ClientId: clientId
};
const userPool = new AmazonCognitoIdentity.CognitoUserPool(poolData);

export const loginWithCognitoSDK = function (userName: string, password: string) {
  const authenticationDetails = new AmazonCognitoIdentity.AuthenticationDetails({
    Username: userName,
    Password: password,
    ClientMetadata: {
        customGroup: "MyCustomGroup",
        customApplicationData: "Custom data from a custom application"
    }
  });
  const userData = {
    Username: userName,
    Pool: userPool
  };

  const cognitoUser = new AmazonCognitoIdentity.CognitoUser(userData);

  // Authenticate the user using the authenticationDetails object
  cognitoUser.authenticateUser(authenticationDetails, {
    onSuccess: function (result: any) {},
    onFailure: function (err: any) {},
  });
}
loginWithCognitoSDK(process.env.USERNAME ?? '', process.env.PASSWORD ?? '');

Das Beispiel verwendet das AuthenticationDetails Modell aus dem SDK für, JavaScript um den Benutzernamen, das Passwort und die bereitzustellen. ClientMetadada Nach der Authentifizierung in Amazon Cognito können die Client-Metadaten aus den Zugriffs- und ID-Token abgerufen werden.

Beispiel-Lambda-Funktion

Das folgende Codebeispiel ist eine Lambda-Funktion, die mit dem Pre-Generation-Token von Amazon Cognito verknüpft ist. Es hilft Ihnen, das Zugriffstoken und das ID-Token, die Amazon Cognito verwendet, anzupassen. Die Token werden durch die Integrationen zwischen Ihrer Architektur weitergegeben. Dieses Beispiel enthält ein benutzerdefiniertes Anspruchsattribut mit dem Namen customApplicationData und einen benutzerdefinierten Gruppennamen namensMyCustomGroup:

export const handler = async(event, context, callback) => {
    event.response = {
        claimsOverrideDetails: {
            claimsToAddOrOverride: { customApplicationData: event.request.clientMetadata.customApplicationData },
            groupOverrideDetails: { groupsToOverride: [event.request.clientMetadata.customGroup] }
        }
    };
    callback(null, event);
};

Beispiel für ein Zugriffstoken

Sie können das Zugriffstoken dekodieren, um die hinzugefügten benutzerdefinierten Attribute zu visualisieren. Im Folgenden finden Sie ein Beispiel für ein Zugriffstoken:

{
  "sub": "6daf331f-4451-48b4-abde-774579299204",
  "cognito:groups": [
    "MyCustomGroup"
  ],
  "iss": "https://cognito-idp.<REGION>.amazonaws.com/<USERPOOL_ID>",
  "client_id": "<YOUR_CLIENT_ID>",
  "origin_jti": "acff7e91-09f9-4fde-8eec-38b0f8c47cdc",
  "event_id": "c5113a9c-1f01-435b-9b73-a5cd3e88514e",
  "token_use": "access",
  "scope": "aws.cognito.signin.user.admin",
  "auth_time": 1677979246,
  "exp": 1677982846,
  "iat": 1677979246,
  "jti": "5c9c2708-a871-4428-bd9b-18ad261bea90",
  "username": "<USER_NAME>"
}

Beispiel für ein ID-Token

Sie können das Zugriffstoken dekodieren, um die hinzugefügten benutzerdefinierten Attribute zu visualisieren. Im Folgenden finden Sie ein Beispiel für ein Zugriffstoken:

{
  "sub": "6daf331f-4451-48b4-abde-774579299204",
  "cognito:groups": [
    "MyCustomGroup"
  ],
  "iss": "https://cognito-idp.<REGION>.amazonaws.com/<USERPOOL_ID>",
  "cognito:username": "<USER_NAME>",
  "origin_jti": "acff7e91-09f9-4fde-8eec-38b0f8c47cdc",
  "customApplicationData": "Custom data from a custom application",
  "aud": "<YOUR_CLIENT_ID>",
  "event_id": "c5113a9c-1f01-435b-9b73-a5cd3e88514e",
  "token_use": "id",
  "auth_time": 1677979246,
  "exp": 1677982846,
  "iat": 1677979246,
  "jti": "f7ca006b-f25b-44d2-a7a4-6e6423f4201f",
  "email": "<USER_EMAIL>"
}