Descripción del token de acceso

El token de acceso de grupo de usuarios contiene notificaciones acerca del usuario autenticado, una lista de los grupos de usuarios y una lista de ámbitos. La finalidad del token de acceso es autorizar operaciones de la API. Su grupo de usuarios acepta tokens de acceso para autorizar las operaciones de autoservicio de los usuarios. Por ejemplo, puede utilizar el token de acceso para conceder acceso a sus usuarios a fin de agregar, cambiar o eliminar atributos de usuarios.

Con los ámbitos OAuth 2.0 en un token de acceso, derivados de los ámbitos personalizados que añades a tu grupo de usuarios, puedes autorizar a tu usuario a recuperar información de una API. Por ejemplo, Amazon API Gateway admite la autorización con los tokens de acceso de Amazon Cognito. Puede rellenar un autorizador de la API de REST con información del grupo de usuarios o utilizar Amazon Cognito como autorizador de JSON Web Token (JWT) para una API de HTTP. Para generar un token de acceso con ámbitos personalizados, debe solicitarlo a través de los puntos de conexión públicos de su grupo de usuarios.

Con el plan de características Essentials o Plus, también puede implementar un desencadenador de Lambda Antes de la generación del token que añada ámbitos a los tokens de acceso en tiempo de ejecución. Para obtener más información, consulte Desencadenador de Lambda anterior a la generación del token.

El token de acceso de un usuario con el ámbito openid es un permiso para solicitar más información sobre los atributos de su usuario a El punto de conexión userInfo. La cantidad de información del punto de conexión userInfo se deriva de los ámbitos adicionales del token de acceso: por ejemplo, profile para todos los datos del usuario y email para su dirección de correo electrónico.

El token de acceso de un usuario con el ámbito aws.cognito.signin.user.admin es el permiso para leer y escribir los atributos del usuario, enumerar los factores de autenticación, configurar las preferencias de autenticación multifactor (MFA) y administrar los dispositivos recordados. El nivel de acceso a los atributos que tu token de acceso otorga a este ámbito coincide con los read/write permisos de atributos que asignes al cliente de tu aplicación.

El token de acceso es un token web JSON (JWT). El encabezado del token de acceso tiene la misma estructura que el token de ID. Amazon Cognito firma los tokens de acceso con una clave diferente a la clave que firma los tokens de ID. El valor de una reclamación de ID de clave de acceso (kid) no coincide con el valor de la reclamación kid de un token de ID de la misma sesión de usuario. En el código de su aplicación, verifique los tokens de ID y los tokens de acceso de forma independiente. No confíe en las reclamaciones de un token de acceso hasta que verifique la firma. Para obtener más información, consulte Verificación de tokens web JSON. Puede utilizar cualquier valor de entre 5 minutos y 1 día para configurar el vencimiento del token de acceso. Puede configurar este valor por cliente de aplicación.

Encabezado del token de acceso

El encabezado contiene dos bloques de información: el ID de clave (kid) y el algoritmo (alg).

{
"kid" : "1234example="
"alg" : "RS256",
}

Carga útil predeterminada del token de acceso

Esta es una carga de muestra de un token de acceso. Para obtener más información, consulte las notificaciones JWT. Puede añadir notificaciones de diseño propio con un Desencadenador de Lambda anterior a la generación del token.

<header>.
{
   "sub":"aaaaaaaa-bbbb-cccc-dddd-eeeeeeeeeeee",
   "device_key": "aaaaaaaa-bbbb-cccc-dddd-eeeeeeeeeeee",
   "cognito:groups":[
      "testgroup"
   ],
   "iss":"https://cognito-idp.us-west-2.amazonaws.com/us-west-2_example",
   "version":2,
   "client_id":"xxxxxxxxxxxxexample",
   "aud": "https://api.example.com",
   "origin_jti":"aaaaaaaa-bbbb-cccc-dddd-eeeeeeeeeeee",
   "event_id":"aaaaaaaa-bbbb-cccc-dddd-eeeeeeeeeeee",
   "token_use":"access",
   "scope":"phone openid profile resourceserver.1/appclient2 email",
   "auth_time":1676313851,
   "exp":1676317451,
   "iat":1676313851,
   "jti":"aaaaaaaa-bbbb-cccc-dddd-eeeeeeeeeeee",
   "username":"my-test-user"
}
.<token signature>

Firma del token de acceso

La firma del token de acceso, firmada con la clave anunciada en el punto de conexión .well-known/jwks.json, valida la integridad del encabezado y la carga útil del token. Cuando utilices los tokens de acceso para autorizar el acceso a datos externos APIs, configura siempre tu autorizador de API para que verifique esta firma con la clave que la firmó. Para obtener más información, consulte Verificación de tokens web JSON.