Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Administre los métodos de autenticación en AWS SDK

Los usuarios de los grupos de usuarios de Amazon Cognito pueden iniciar sesión con una variedad de opciones o factores de inicio de sesión inicial. En algunos casos, los usuarios pueden hacer un seguimiento con autenticación multifactor (MFA). Estos primeros factores incluyen el nombre de usuario y la contraseña, la contraseña de un solo uso, la clave de acceso y la autenticación personalizada. Para obtener más información, consulte Flujos de autenticación. Cuando su aplicación tiene componentes de interfaz de usuario integrados e importa un módulo AWS del SDK, debe crear la lógica de la aplicación para la autenticación. Debe elegir uno de los dos métodos principales y, a partir de ese método, los mecanismos de autenticación que desee implementar.

Puede implementar la autenticación basada en el cliente, en la que la aplicación, o el cliente, declare el tipo de autenticación por adelantado. La otra opción es la autenticación basada en opciones, en la que la aplicación recopila un nombre de usuario y solicita los tipos de autenticación disponibles para los usuarios. Puede implementar estos modelos juntos en la misma aplicación o dividirlos entre los clientes de la aplicación, según lo que necesite. Cada método tiene características que son únicas; por ejemplo, la autenticación personalizada, en el método basado en el cliente, y la autenticación sin contraseña, en el caso del método basado en opciones.

En las aplicaciones personalizadas que se autentican con la implementación del AWS SDK de la API de grupos de usuarios, debes estructurar las solicitudes de API para adaptarlas a la configuración del grupo de usuarios, la configuración del cliente de la aplicación y las preferencias del lado del cliente. Una sesión InitiateAuth que comience con un AuthFlow de USER_AUTH empieza con la autenticación basada en opciones. Amazon Cognito responde a su API con un desafío del método de autenticación preferido o una lista de opciones. Una sesión que comienza con AuthFlow de CUSTOM_AUTH pasa directamente a la autenticación personalizada con activadores Lambda.

Algunos métodos de autenticación están fijos en uno de los dos tipos de flujo y algunos métodos están disponibles en ambos.

Choice-based authentication

La aplicación puede solicitar los siguientes métodos de autenticación en la autenticación basada en opciones. Declare estas opciones en el PREFERRED_CHALLENGE parámetro InitiateAutho o AdminInitiateAuthen el ChallengeName parámetro o. RespondToAuthChallengeAdminRespondToAuthChallenge

Para revisar estas opciones en su contexto de API, consulte. ChallengeName RespondToAuthChallenge

Choice-based el inicio de sesión genera un desafío en respuesta a tu solicitud inicial. Este desafío verifica que la opción solicitada esté disponible o proporciona una lista de las opciones disponibles. La aplicación puede mostrar estas opciones a los usuarios, quienes, a continuación, introducen las credenciales del método de inicio de sesión preferido y proceden a autenticarse en las respuestas a las preguntas.

Dispone de las siguientes opciones basadas en opciones en su flujo de autenticación. Todas las solicitudes de este tipo requieren que su aplicación primero recopile un nombre de usuario o lo recupere de una memoria caché.

A fin de configurar el cliente de aplicación para la autenticación basada en opciones, añada ALLOW_USER_AUTH a los flujos de autenticación permitidos. También debe elegir los factores basados en opciones que desee permitir en la configuración de su grupo de usuarios. El siguiente proceso ilustra cómo elegir los factores de autenticación basados en opciones.

Amazon Cognito console

Cómo configurar las opciones de autenticación basadas en opciones en un grupo de usuarios

1. Inicie sesión en la consola AWS de grupos de usuarios de Amazon Cognito y navegue hasta ella. Elija un grupo de usuarios o cree uno nuevo.

2. En la configuración de su grupo de usuarios, seleccione el Sign-inmenú. Busque Opciones para el inicio de sesión basado en opciones y seleccione Editar.

3. La opción Contraseña siempre está disponible. Esto incluye los flujos PASSWORD y PASSWORD_SRP. Seleccione las opciones adicionales que desee añadir a las opciones de sus usuarios. Puede agregar una clave de acceso para WEB_AUTHN, una contraseña única en mensaje de correo electrónico para EMAIL_OTP y una contraseña única en mensaje de SMS para SMS_OTP.

4. Seleccione Save changes (Guardar cambios).

API/SDK

El siguiente cuerpo parcial CreateUserPoolo de UpdateUserPoolsolicitud configura todas las opciones disponibles para la autenticación basada en elecciones.

"Policies": {
    "SignInPolicy": {
        "AllowedFirstAuthFactors": [
            "PASSWORD",
            "WEB_AUTHN",
            "EMAIL_OTP",
            "SMS_OTP"
        ]
    }
},

Client-based authentication

Client-based la autenticación admite los siguientes flujos de autenticación. Declare estas opciones en el AuthFlow parámetro InitiateAutho AdminInitiateAuth.

Con la autenticación basada en el cliente, Amazon Cognito da por sentado que usted ha determinado cómo quiere autenticarse el usuario antes de que este comience los flujos de autenticación. La lógica para determinar el factor de inicio de sesión que un usuario quiere proporcionar debe determinarse con la configuración predeterminada o con mensajes personalizados; luego, debe declararse en la primera solicitud a su grupo de usuarios. La solicitud InitiateAuth declara un AuthFlow de inicio de sesión que se corresponde directamente con una de las opciones de la lista, como USER_SRP_AUTH. Con esta declaración, la solicitud también incluye los parámetros para iniciar la autenticación, como USERNAME, SECRET_HASH y SRP_A. Amazon Cognito podría complementar esta solicitud con desafíos adicionales, como PASSWORD_VERIFIER para el SRP o SOFTWARE_TOKEN_MFA para el inicio de sesión con contraseña, con TOTP y MFA.

A fin de configurar el cliente de aplicación para la autenticación basada en el cliente, añada cualquier flujo de autenticación distinto de ALLOW_USER_AUTH en los flujos de autenticación permitidos. Algunos ejemplos sonALLOW_USER_PASSWORD_AUTH,ALLOW_CUSTOM_AUTH,ALLOW_REFRESH_TOKEN_AUTH. Para permitir los flujos de autenticación basados en el cliente, no se requiere ninguna configuración adicional del grupo de usuarios.

Step-up autenticación con el flujo USER_AUTH

Se solicita una autenticación progresiva en el USER_AUTH flujo existente con las operaciones y. InitiateAuthRespondToAuthChallenge No hay nuevas operaciones de API. Las operaciones correspondientes del lado del servidor admiten los mismos parámetros AdminInitiateAuthy AdminRespondToAuthChallengecomportamientos de escalonamiento y, opcionalmente, también AdminInitiateAuth pueden utilizar un token de acceso. Este flujo funciona tanto cuando un usuario tiene un token de identificación existente como cuando se autentica en un nivel objetivo por primera vez. Para obtener más información sobre el flujo, consulteUn ejemplo de sesión de autenticación.

Para obtener más información sobre los niveles de ACR y los valores de AMR, consulte. Niveles de autenticación con afirmaciones de ACR y AMR

Usted introduce los parámetros de escalonamiento en el AuthParameters mapa de su InitiateAuth (oAdminInitiateAuth) solicitud: los nuevos TARGET_ACR_VALUES yMAX_AGE, junto con los existentes USERNAMEACCESS_TOKEN, yPREFERRED_CHALLENGE. Para conocer la definición y las restricciones de cada parámetro, consulte InitiateAuthy AdminInitiateAuthen la referencia de la API de grupos de usuarios de Amazon Cognito.

En la siguiente tabla se describe cómo Amazon Cognito responde a las combinaciones de estos parámetros.

Tenga en cuenta el siguiente comportamiento al diseñar un flujo de autenticación escalonado.

Para solicitar una autenticación avanzada se TARGET_ACR_VALUES requiere el plan de funciones Essentials o Plus. Para obtener más información, consulte Requisitos del plan de funciones.