Amazon Verified Permissions Amazon Cognito 자격 증명 소스 생성

Amazon Cognito 사용자 풀 자격 증명 소스를 생성하려면

1. Verified Permissions 콘솔을 엽니다. 정책 스토어를 선택합니다.

2. 왼쪽 탐색 창에서 자격 증명 소스를 선택합니다.

3. 자격 증명 소스 생성을 선택합니다.

4. Cognito 사용자 풀 세부 정보에서를 AWS 리전 선택하고 자격 증명 소스의 사용자 풀 ID를 입력합니다.

5. 보안 주체 구성의 보안 주체 유형에서이 소스의 보안 주체에 대한 엔터티 유형을 선택합니다. 연결된 Amazon Cognito 사용자 풀의 자격 증명은 선택한 보안 주체 유형에 매핑됩니다.

6. 사용자 풀 cognito:groups 클레임을 매핑하려면 그룹 구성에서 Cognito 그룹 사용을 선택합니다. 보안 주체 유형의 상위인 엔터티 유형을 선택합니다.

7. 클라이언트 애플리케이션 검증에서 클라이언트 애플리케이션 IDs 검증할지 여부를 선택합니다.

   • 클라이언트 애플리케이션 ID를 검증하려면 클라이언트 애플리케이션 ID가 일치하는 토큰만 수락을 선택합니다. 검증할 각 클라이언트 애플리케이션 ID에 대해 새 클라이언트 애플리케이션 ID 추가를 선택합니다. 추가된 클라이언트 애플리케이션 ID를 제거하려면 클라이언트 애플리케이션 ID 옆의 제거를 선택합니다.

   • 클라이언트 애플리케이션 ID를 검증하지 않으려면 클라이언트 애플리케이션 ID 검증 안 함을 선택합니다.

8. 자격 증명 소스 생성을 선택합니다.

9. (선택 사항) 정책 스토어에 스키마가 있는 경우 Cedar 정책의 자격 증명 또는 액세스 토큰에서 추출한 속성을 참조하려면 먼저 Cedar가 자격 증명 소스가 생성하는 보안 주체 유형을 인식하도록 스키마를 업데이트해야 합니다. 스키마에 추가되는 항목에는 Cedar 정책에서 참조하려는 속성이 포함되어야 합니다. Amazon Cognito 토큰 속성을 Cedar 보안 주체 속성에 매핑하는 방법에 대한 자세한 내용은 Amazon Cognito 토큰 스키마 매핑을(를) 참조하세요.

   참고

   API 연결 정책 저장소를 생성하거나 정책 저장소를 생성할 때 API Gateway 및 자격 증명 공급자로 설정을 사용하는 경우 Verified Permissions는 사용자 풀에서 사용자 속성을 쿼리하고 보안 주체 유형이 사용자 풀 속성으로 채워지는 스키마를 생성합니다.

10. 토큰의 정보를 사용하여 권한 부여 결정을 내리는 정책을 생성합니다. 자세한 내용은 Amazon Verified Permissions 정적 정책 생성 단원을 참조하십시오.

1. create-identity-source 명령의 --configuration 파라미터에서 사용할 Amazon Cognito 사용자 풀에 대한 다음 세부 정보가 포함된 config.txt 파일을 생성합니다.

   {
       "cognitoUserPoolConfiguration": {
           "userPoolArn": "arn:aws:cognito-idp:us-west-2:123456789012:userpool/us-west-2_1a2b3c4d5",
           "clientIds":["a1b2c3d4e5f6g7h8i9j0kalbmc"],
           "groupConfiguration": {
                 "groupEntityType": "MyCorp::UserGroup"
           }
       }
   }

2. 다음 명령을 실행하여 Amazon Cognito 자격 증명 소스를 생성합니다.

   $ aws verifiedpermissions create-identity-source \
       --configuration file://config.txt \
       --principal-entity-type "User" \
       --policy-store-id 123456789012
   {
       "createdDate": "2023-05-19T20:30:28.214829+00:00",
       "identitySourceId": "ISEXAMPLEabcdefg111111",
       "lastUpdatedDate": "2023-05-19T20:30:28.214829+00:00",
       "policyStoreId": "PSEXAMPLEabcdefg111111"
   }

3. (선택 사항) 정책 스토어에 스키마가 있는 경우 Cedar 정책의 자격 증명 또는 액세스 토큰에서 추출한 속성을 참조하려면 먼저 Cedar가 자격 증명 소스가 생성하는 보안 주체 유형을 인식하도록 스키마를 업데이트해야 합니다. 스키마에 추가되는 항목에는 Cedar 정책에서 참조하려는 속성이 포함되어야 합니다. Amazon Cognito 토큰 속성을 Cedar 보안 주체 속성에 매핑하는 방법에 대한 자세한 내용은 Amazon Cognito 토큰 스키마 매핑을(를) 참조하세요.

   참고

   API 연결 정책 저장소를 생성하거나 정책 저장소를 생성할 때 API Gateway 및 자격 증명 공급자로 설정을 사용하는 경우 Verified Permissions는 사용자 풀에서 사용자 속성을 쿼리하고 보안 주체 유형이 사용자 풀 속성으로 채워지는 스키마를 생성합니다.

4. 토큰의 정보를 사용하여 권한 부여 결정을 내리는 정책을 생성합니다. 자세한 내용은 Amazon Verified Permissions 정적 정책 생성 단원을 참조하십시오.