Invia attributi personalizzati ad Amazon Cognito e inseriscili in token

Carlos Alessandro Ribeiro e Mauricio Mendoza, Amazon Web Services

Riepilogo

L'invio di attributi personalizzati a un processo di autenticazione Amazon Cognito può fornire un contesto aggiuntivo a un'applicazione, consentire controlli di accesso più granulari e semplificare la gestione dei profili utente e dei requisiti di autenticazione. Queste funzionalità sono utili in un'ampia gamma di applicazioni e scenari e possono aiutarti a migliorare la sicurezza e la funzionalità complessive di un'applicazione.

Questo modello mostra come inviare attributi personalizzati a un processo di autenticazione Amazon Cognito quando un'applicazione deve fornire un contesto aggiuntivo al token di accesso o al token di identità (ID). Utilizzi Node.js come applicazione di backend. L'applicazione autentica un utente da un pool di utenti di Amazon Cognito e trasmette gli attributi personalizzati necessari per la generazione di token. Puoi utilizzare i AWS Lambda trigger per Amazon Cognito per personalizzare il processo di autenticazione senza grandi personalizzazioni del codice o sforzi significativi.

Prerequisiti e limitazioni

Prerequisiti

Limitazioni

Architettura

Architettura Target

Il diagramma seguente mostra l'architettura di destinazione per questo modello. Mostra anche come l'applicazione Node.js potrebbe funzionare con un backend per aggiornare i database. Tuttavia, gli aggiornamenti del database di backend non rientrano nell'ambito di questo modello.

Il diagramma mostra il flusso di lavoro seguente:

Automazione e scalabilità

Puoi automatizzare il provisioning di pool di utenti AWS Lambda , funzioni, istanze di database e altre risorse di Amazon Cognito AWS CloudFormationutilizzando Terraform o qualsiasi strumento Infrastructure as Code (IaC) supportato. AWS Cloud Development Kit (AWS CDK)HashiCorp Se desideri scalare le tue implementazioni, utilizza pipeline di integrazione continua e distribuzione continua (CI/CD), che aiutano a prevenire gli errori associati alle distribuzioni manuali.

Strumenti

Servizi AWS

Altri strumenti

Best practice

Ti consigliamo di implementare le seguenti best practice:

Per ulteriori best practice, consulta la sezione Best practice di sicurezza per i pool di utenti di Amazon Cognito nella documentazione di Amazon Cognito.

Epiche

aws cognito-idp sign-up \
   --client-id <ClientID> \
   --username <jane@example.com> \
   --password <PASSWORD> \
   --user-attributes Name="email",Value="<jane@example.com>" Name="name",Value="<Jane>"

export USERNAME="<COGNITO_USER_NAME>"
export PASSWORD="<COGNITO_USER_PASSWORD>"
export USER_POOL_ID="<COGNITO_USER_ID>"
export CLIENT_ID="<COGNITO_CLIENT_ID>"

npm run build
npm start

Risoluzione dei problemi

Risorse correlate

Informazioni aggiuntive

File di TypeScript esempio

Il seguente esempio di codice è un TypeScript file che richiama il processo di autenticazione utilizzando un AWS SDK per inviare attributi personalizzati ad Amazon Cognito:

import * as AmazonCognitoIdentity from "amazon-cognito-identity-js";

const userPoolId: string = process.env.USER_POOL_ID ?? '';
const clientId: string = process.env.CLIENT_ID ?? '';

const poolData = {
  UserPoolId: userPoolId,
  ClientId: clientId
};
const userPool = new AmazonCognitoIdentity.CognitoUserPool(poolData);

export const loginWithCognitoSDK = function (userName: string, password: string) {
  const authenticationDetails = new AmazonCognitoIdentity.AuthenticationDetails({
    Username: userName,
    Password: password,
    ClientMetadata: {
        customGroup: "MyCustomGroup",
        customApplicationData: "Custom data from a custom application"
    }
  });
  const userData = {
    Username: userName,
    Pool: userPool
  };

  const cognitoUser = new AmazonCognitoIdentity.CognitoUser(userData);

  // Authenticate the user using the authenticationDetails object
  cognitoUser.authenticateUser(authenticationDetails, {
    onSuccess: function (result: any) {},
    onFailure: function (err: any) {},
  });
}
loginWithCognitoSDK(process.env.USERNAME ?? '', process.env.PASSWORD ?? '');

L'esempio utilizza il AuthenticationDetails modello dell'SDK per JavaScript fornire il nome utente, la password e il. ClientMetadada Dopo l'autenticazione in Amazon Cognito, i metadati del client possono essere recuperati dai token di accesso e ID.

Funzione Lambda di esempio

Il seguente esempio di codice è una funzione Lambda collegata al token di pre-generazione di Amazon Cognito. Ti aiuta a personalizzare il token di accesso e il token ID utilizzati da Amazon Cognito. I token vengono passati attraverso le integrazioni tra le tue architetture. Questo esempio include un attributo di reclamo personalizzato chiamato customApplicationData e un nome di gruppo personalizzato chiamato: MyCustomGroup

export const handler = async(event, context, callback) => {
    event.response = {
        claimsOverrideDetails: {
            claimsToAddOrOverride: { customApplicationData: event.request.clientMetadata.customApplicationData },
            groupOverrideDetails: { groupsToOverride: [event.request.clientMetadata.customGroup] }
        }
    };
    callback(null, event);
};

Esempio di token di accesso

È possibile decodificare il token di accesso per visualizzare gli attributi personalizzati che sono stati aggiunti. Di seguito è riportato un esempio di token di accesso:

{
  "sub": "6daf331f-4451-48b4-abde-774579299204",
  "cognito:groups": [
    "MyCustomGroup"
  ],
  "iss": "https://cognito-idp.<REGION>.amazonaws.com/<USERPOOL_ID>",
  "client_id": "<YOUR_CLIENT_ID>",
  "origin_jti": "acff7e91-09f9-4fde-8eec-38b0f8c47cdc",
  "event_id": "c5113a9c-1f01-435b-9b73-a5cd3e88514e",
  "token_use": "access",
  "scope": "aws.cognito.signin.user.admin",
  "auth_time": 1677979246,
  "exp": 1677982846,
  "iat": 1677979246,
  "jti": "5c9c2708-a871-4428-bd9b-18ad261bea90",
  "username": "<USER_NAME>"
}

Token ID di esempio

È possibile decodificare il token di accesso per visualizzare gli attributi personalizzati che sono stati aggiunti. Di seguito è riportato un esempio di token di accesso:

{
  "sub": "6daf331f-4451-48b4-abde-774579299204",
  "cognito:groups": [
    "MyCustomGroup"
  ],
  "iss": "https://cognito-idp.<REGION>.amazonaws.com/<USERPOOL_ID>",
  "cognito:username": "<USER_NAME>",
  "origin_jti": "acff7e91-09f9-4fde-8eec-38b0f8c47cdc",
  "customApplicationData": "Custom data from a custom application",
  "aud": "<YOUR_CLIENT_ID>",
  "event_id": "c5113a9c-1f01-435b-9b73-a5cd3e88514e",
  "token_use": "id",
  "auth_time": 1677979246,
  "exp": 1677982846,
  "iat": 1677979246,
  "jti": "f7ca006b-f25b-44d2-a7a4-6e6423f4201f",
  "email": "<USER_EMAIL>"
}