Amazon Verified Permissions Amazon Cognito ID ソースの作成

Amazon Cognito ユーザープール ID ソースを作成するには

1. Verified Permissions コンソールを開きます。ポリシーストアを選択します。

2. 左側にあるナビゲーションペインで、[ID ソース] を選択します。

3. [ID ソースを作成]を選択します。

4. Cognito ユーザープールの詳細で、 を選択し、ID ソースのユーザープール ID AWS リージョン を入力します。

5. プリンシパル設定のプリンシパルタイプで、このソースからプリンシパルのエンティティタイプを選択します。接続された Amazon Cognito ユーザープールの ID は、選択したプリンシパルタイプにマッピングされます。

6. グループ設定で、ユーザープールcognito:groupsクレームをマッピングする場合は Cognito グループを使用するを選択します。プリンシパルタイプの親であるエンティティタイプを選択します。

7. クライアントアプリケーションの検証で、クライアントアプリケーション IDsを検証するかどうかを選択します。

   • クライアントアプリケーション ID を検証するには、「クライアントアプリケーション ID が一致するトークンのみを受け入れる」を選択します。検証するクライアントアプリケーション ID ごとに [新しいクライアントアプリケーション ID を追加] を選択します。追加したクライアントアプリケーション ID を削除するには、クライアントアプリケーション ID の横にある [削除] を選択します。

   • クライアントアプリケーション ID を検証したくない場合は、[クライアントアプリケーション ID を検証しない]を選択します。

8. [ID ソースを作成]を選択します。

9. （オプション) ポリシーストアにスキーマがある場合、Cedar ポリシーの ID トークンまたはアクセストークンから抽出した属性を参照する前に、スキーマを更新して、Cedar が ID ソースが作成するプリンシパルのタイプを認識できるようにする必要があります。スキーマへの追加には、Cedar ポリシーで参照したい属性を含める必要があります。Amazon Cognito トークンの属性を Cedar のプリンシパル属性にマッピングする方法の詳細については、Amazon Cognito トークンをスキーマにマッピングするを参照してください。

   注記

   API リンクポリシーストアを作成するか、ポリシーストアの作成時に API Gateway と ID プロバイダーでセットアップを使用するとき、Verified Permissions はユーザープールにユーザー属性をクエリし、プリンシパルタイプにユーザープール属性が入力されるスキーマを作成します。

10. トークンからの情報を使用して認可を決定するポリシーを作成します。詳細については、「Amazon Verified Permissions 静的ポリシーの作成」を参照してください。

1. create-identity-source コマンドの --configurationパラメータで使用する Amazon Cognito ユーザープールの以下の詳細を含むconfig.txtファイルを作成します。

   {
       "cognitoUserPoolConfiguration": {
           "userPoolArn": "arn:aws:cognito-idp:us-west-2:123456789012:userpool/us-west-2_1a2b3c4d5",
           "clientIds":["a1b2c3d4e5f6g7h8i9j0kalbmc"],
           "groupConfiguration": {
                 "groupEntityType": "MyCorp::UserGroup"
           }
       }
   }

2. 次のコマンドを実行して、Amazon Cognito ID ソースを作成します。

   $ aws verifiedpermissions create-identity-source \
       --configuration file://config.txt \
       --principal-entity-type "User" \
       --policy-store-id 123456789012
   {
       "createdDate": "2023-05-19T20:30:28.214829+00:00",
       "identitySourceId": "ISEXAMPLEabcdefg111111",
       "lastUpdatedDate": "2023-05-19T20:30:28.214829+00:00",
       "policyStoreId": "PSEXAMPLEabcdefg111111"
   }

3. （オプション) ポリシーストアにスキーマがある場合、Cedar ポリシーの ID トークンまたはアクセストークンから抽出した属性を参照する前に、スキーマを更新して、Cedar が ID ソースが作成するプリンシパルのタイプを認識できるようにする必要があります。スキーマへの追加には、Cedar ポリシーで参照したい属性を含める必要があります。Amazon Cognito トークンの属性を Cedar のプリンシパル属性にマッピングする方法の詳細については、Amazon Cognito トークンをスキーマにマッピングするを参照してください。

   注記

   API リンクポリシーストアを作成するか、ポリシーストアの作成時に API Gateway と ID プロバイダーでセットアップを使用するとき、Verified Permissions はユーザープールにユーザー属性をクエリし、プリンシパルタイプにユーザープール属性が入力されるスキーマを作成します。

4. トークンからの情報を使用して認可を決定するポリシーを作成します。詳細については、「Amazon Verified Permissions 静的ポリシーの作成」を参照してください。