Desencadenadores de Lambda para remitentes personalizados

Cree una clave de cifrado simétrica en AWS Key Management Service ().AWS KMS Amazon Cognito genera secretos (contraseñas temporales, códigos de verificación, contraseñas de un solo uso y códigos de confirmación) y, a continuación, utiliza esta clave de KMS para cifrar los secretos. AWS Encryption SDK A continuación, puede utilizar AWS Encryption SDK la función Lambda para descifrar los secretos y enviarlos al usuario en texto plano.

El director de IAM que crea o actualiza el grupo de usuarios crea una concesión única con la clave de KMS que Amazon Cognito utiliza para cifrar el código. Otorgue estos CreateGrant permisos principales para su clave de KMS. Para que este ejemplo de política de claves de KMS sea efectiva, el administrador que actualice el grupo de usuarios debe iniciar sesión con una sesión de rol asumido para el rol de IAM. arn:aws:iam::111222333444:role/my-example-administrator-role

Aplique la siguiente política basada en recursos, modificada para su entorno, a su clave de KMS.

{
    "Version": "2012-10-17",
    "Statement": [
    {
        "Effect": "Allow",
        "Principal": {
            "AWS": "arn:aws:iam::111122223333:role/my-example-administrator-role"
        },
        "Action": "kms:CreateGrant",
        "Resource": "arn:aws:kms:us-west-2:111122223333:key/1example-2222-3333-4444-999example",
        "Condition": {
            "StringEquals": {
               "kms:EncryptionContext:userpool-id": "us-west-2_EXAMPLE"
            }
        }
    },
    {
        "Sid": "Allow Lambda to decrypt",
        "Effect": "Allow",
        "Principal": {
            "AWS": "arn:aws:iam::111122223333:role/my-lambda-function-role"
        },
        "Action": "kms:Decrypt",
        "Resource": "*"
    }]
} 

Cree una función de Lambda para el desencadenador de remitente personalizado. Amazon Cognito utiliza el SDK de cifrado de AWS para cifrar los secretos, las contraseñas temporales y los códigos que autorizan las solicitudes de API de sus usuarios.

1. Asigne una función de ejecución de Lambda que tenga, como mínimo, kms:Decrypt permisos para su clave KMS.

2. Redacte el código de la función Lambda para enviar sus mensajes. El evento de entrada de la función contiene un secreto. En su función, descifre el secreto con el AWS Encryption SDK y procese los metadatos relevantes. A continuación, envíe el código, su propio mensaje personalizado y el número de teléfono de destino a la API personalizada que entrega el mensaje.

3. Añada el AWS Encryption SDK a su función Lambda. Para obtener más información, consulte Lenguajes de programación del SDK de cifrado de AWS. Complete los siguientes pasos para actualizar el paquete de Lambda.

   1. Exporte su función de Lambda como un archivo .zip en la AWS Management Console.

   2. Abra la función y añada la AWS Encryption SDK. Para obtener más información y enlaces de descarga, consulte Lenguajes de programación de AWS Encryption SDK en la Guía para desarrolladores de AWS Encryption SDK .

   3. Comprima su función con sus dependencias del SDK y cargue la función en Lambda. Para obtener más información, consulte Implementación de funciones de Lambda como archivos .zip en la Guía para desarrolladores de AWS Lambda .

Conceda el acceso cognito-idp.amazonaws.com a la entidad principal del servicio de Amazon Cognito para llamar a la función de Lambda.

El siguiente AWS CLI comando otorga permiso a Amazon Cognito para invocar la función Lambda:

aws lambda add-permission --function-name lambda_arn --statement-id "CognitoLambdaInvokeAccess" --action lambda:InvokeFunction --principal cognito-idp.amazonaws.com

Genere una solicitud de UpdateUserPoolAPI con un LambdaConfig parámetro que añada activadores Lambda de remitente personalizados. No puede añadir activadores de este tipo en la consola de Amazon Cognito. Los activadores de envío personalizados requieren LambdaConfig parámetros de KMSKeyID y CustomSMSSender o CustomEmailSender (o ambos).