Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Modelli di autorizzazione per l'autenticazione tramite API e SDK

Quando inizi lo sviluppo della tua applicazione con l'autenticazione dei pool di utenti, devi decidere il modello di autorizzazione API più adatto al tuo tipo di applicazione. Un modello di autorizzazione è un sistema per fornire l'autorizzazione a effettuare richieste con i componenti di autenticazione nelle integrazioni API e SDK dei pool di utenti di Amazon Cognito. Amazon Cognito ha tre modelli di autorizzazione: pubblico e autorizzato con IAM-authorized token.

Nel caso IAM-authorized delle richieste, l'autorizzazione proviene da una firma effettuata da un set di credenziali AWS IAM nell'Authorizationintestazione di una richiesta. Per le applicazioni lato server, questa pratica protegge le operazioni di autenticazione con l'autorizzazione IAM. Con le richieste di autenticazione pubbliche (non autenticate), non è richiesta alcuna autorizzazione. Questo è adatto per le applicazioni lato client distribuite agli utenti. Nelle operazioni autorizzate tramite token, in genere implementate in combinazione con operazioni pubbliche, l'autorizzazione proviene da un token di sessione o da un token di accesso incluso nell'Authorizationintestazione della richiesta. L'autenticazione di Amazon Cognito richiede in genere l'implementazione di due o più operazioni API in ordine e le operazioni API utilizzate dipendono dalle caratteristiche dell'applicazione. I client pubblici, in cui l'applicazione è distribuita agli utenti, utilizzano operazioni pubbliche, in cui le richieste di accesso non richiedono autorizzazione. Token-authorized le operazioni continuano la sessione degli utenti nelle applicazioni pubbliche. Server-side i client, in cui la logica dell'applicazione è ospitata su un sistema remoto, proteggono le operazioni di autenticazione con l'autorizzazione IAM per le richieste di accesso. Le coppie di operazioni API che seguono e i corrispondenti metodi SDK sono mappati ai modelli di autorizzazione disponibili.

Ogni operazione di autenticazione pubblica ha una qualche forma di equivalente sul lato server, ad esempio e. UpdateUserAttributes AdminUpdateUserAttributes Mentre le operazioni sul lato client sono avviate dall'utente e richiedono una conferma, le operazioni sul lato server presuppongono che la modifica sia stata confermata da un amministratore del pool di utenti e le modifiche hanno effetto immediato. In questo esempio, Amazon Cognito invia un messaggio con un codice di conferma all'utente e il token di accesso dell'utente autorizza una richiesta che invia il codice. VerifyUserAttribute L'applicazione lato server può impostare immediatamente il valore di qualsiasi attributo, anche se sono necessarie considerazioni speciali per la modifica del valore degli indirizzi email e dei numeri di telefono quando vengono utilizzati per l'accesso.

Per confrontare l'autenticazione API e visualizzare un elenco completo delle operazioni API e dei relativi modelli di autorizzazione, consulta. Informazioni sull'API, sull'OIDC e sull'autenticazione delle pagine di accesso gestite

Client-side (public) authentication

Di seguito è riportata una tipica sequenza di richieste in un'applicazione lato client

1. L'InitiateAuthoperazione pubblica invia credenziali primarie come nome utente e password.

2. L'RespondToAuthChallengeoperazione autorizzata tramite token invia un token di sessione derivante dalla InitiateAuth risposta e la risposta a una sfida, ad esempio MFA. L'autorizzazione tramite token di sessione indica le richieste che fanno parte di cicli di autenticazione non ancora completi.

3. L'ConfirmDeviceoperazione autorizzata tramite token invia un token di accesso ed esegue l'operazione di scrittura per aggiungere un dispositivo memorizzato al profilo dell'utente. L'autorizzazione tramite token di accesso indica le richieste destinate alle operazioni self-service dell'utente dopo il completamento dell'autenticazione.

Per ulteriori informazioni, consulta Client-side opzioni di autenticazione e Informazioni sull'API, sull'OIDC e sull'autenticazione delle pagine di accesso gestite.

Server-side authentication

Di seguito è riportata una sequenza tipica di richieste provenienti da un'operazione lato server. Ogni richiesta ha un'intestazione di autorizzazione AWS Signature Version 4 firmata con le credenziali del computer IAM che sono state rilasciate al server delle applicazioni.

1. L'AdminInitiateAuthoperazione invia credenziali primarie come nome utente e password.

2. AdminRespondToAuthChallengel'operazione invia la risposta a una sfida, ad esempio MFA.

3. L'AdminUpdateDeviceStatusoperazione imposta la chiave del dispositivo in base alla AdminInitiateAuth risposta memorizzata.

Per ulteriori informazioni, consulta Server-side opzioni di autenticazione e Informazioni sull'API, sull'OIDC e sull'autenticazione delle pagine di accesso gestite.

L'autenticazione di un utente viene effettuata rispondendo a richieste successive fino a che l'autenticazione non riesce o Amazon Cognito emette token per l'utente. Puoi ripetere questi passaggi con Amazon Cognito, in un processo che include richieste di autenticazione di tipo diverso, per supportare qualsiasi flusso di autenticazione personalizzato.

Server-side opzioni di autenticazione

Le applicazioni Web e altre applicazioni lato server implementano l'autenticazione su un server remoto che un client carica in un'applicazione di visualizzazione remota come un browser o una sessione SSH. Server-side le applicazioni hanno in genere le seguenti caratteristiche.

Server-side le operazioni con l'API dei pool di utenti possono utilizzare password, password monouso o passkey come fattore di accesso principale. Per le app lato server, l'autenticazione dei bacini d'utenza è analoga a quella per le app lato client, con le seguenti eccezioni:

Per ulteriori informazioni sulla firma delle richieste API Amazon Cognito con AWS credenziali, consulta la procedura di firma della versione 4 di Signature nella AWS Guida generale.

Nella risposta di AdminInitiateAuth ChallengeParameters, l'attributo USER_ID_FOR_SRP, se presente, contiene il nome utente reale dell'utente e non un alias (come l'indirizzo e-mail o il numero di telefono). Nella chiamata a AdminRespondToAuthChallenge, in ChallengeResponses, è necessario passare questo nome utente nel parametro USERNAME.

Client-side opzioni di autenticazione

Le app mobili e altri tipi di applicazioni lato client vengono installate sui dispositivi degli utenti ed eseguono la logica di autenticazione e l'interfaccia utente localmente. In genere hanno le seguenti caratteristiche.

Client-side le operazioni con l'API dei pool di utenti possono utilizzare password, password monouso o passkey come fattore di accesso principale. Il seguente processo funziona per le app lato client dell'utente create con AWS Amplify o SDK AWS.

Informazioni sull'API, sull'OIDC e sull'autenticazione delle pagine di accesso gestite

I pool di utenti di Amazon Cognito sono una combinazione di diverse tecnologie di autenticazione. Si affidano a fornitori di identità esterni ()IdPs. Si tratta IdPs di applicazioni che implementano l'autenticazione con gli SDK OpenID Connect (OIDC). Forniscono l'autenticazione come emittenti di token web JSON (JWT) in modo simile all'autenticazione OIDC, ma con metodi API che fanno parte degli SDK. AWS Possono anche essere punti di accesso sicuri alle tue applicazioni.

Quando desideri eseguire la registrazione, l'accesso e la gestione di utenti nel pool di utenti, puoi utilizzare due opzioni.

Puoi collegare un utente federato, che normalmente accede tramite gli endpoint dei pool di utenti, con un utente il cui profilo è locale al pool di utenti. Un utente locale esiste esclusivamente nella directory del pool di utenti senza federazione tramite un IdP esterno. Se colleghi la loro identità federata a un utente locale in una richiesta AdminLinkProviderForUser API, possono accedere con l'API dei pool di utenti. Per ulteriori informazioni, consulta Collegamento di utenti federati a un profilo utente esistente.

L'API dei pool di utenti di Amazon Cognito ha un doppio scopo.

Nell'API dei pool di utenti di Amazon Cognito, non è possibile consentire l'accesso agli utenti che eseguono la federazione tramite un IdP. Questi utenti devono essere autenticati tramite gli endpoint del pool di utenti. Per ulteriori informazioni sugli endpoint del pool di utenti che includono l'accesso gestito, consulta. Endpoint del pool di utenti e riferimento per l'accesso gestito

I tuoi utenti federati possono iniziare con l'accesso gestito e selezionare il proprio IdP, oppure puoi saltare l'accesso gestito e inviare gli utenti direttamente al tuo IdP per l'accesso. Quando la richiesta API a Endpoint Authorize include un parametro IdP, Amazon Cognito reindirizza automaticamente l'utente alla pagina di accesso IdP.

L'API dei pool di utenti e le pagine di accesso gestite supportano una varietà di scenari, descritti in questa guida. Nelle sezioni seguenti viene illustrato in che modo l'API dei pool di utenti si divide ulteriormente in classi che supportano i requisiti di registrazione, accesso e gestione delle risorse.

Elenco delle operazioni API raggruppate per modello di autorizzazione

L'API dei pool di utenti di Amazon Cognito, un'interfaccia di gestione delle risorse e un'interfaccia di autenticazione e autorizzazione lato utente, combina i modelli di autorizzazione che seguono le relative operazioni. A seconda dell'operazione API, potrebbe essere necessario fornire l'autorizzazione con credenziali IAM, un token di accesso, un token di sessione, un segreto del client o una combinazione di questi. Per molte operazioni di autenticazione e autorizzazione utente, è possibile scegliere tra versioni autenticate e non autenticate della richiesta. Le operazioni non autenticate sono best practice di sicurezza per le app distribuite agli utenti, come app per dispositivi mobili; non è necessario includere alcun segreto nel codice.

È possibile assegnare autorizzazioni solo nelle policy IAM per IAM-authorized operazioni di gestione e IAM-authorized operazioni con gli utenti.