As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Modelos de autorização para autenticação de API e SDK

Ao iniciar o desenvolvimento do seu aplicativo com a autenticação de grupos de usuários, você deve decidir sobre o modelo de autorização de API adequado ao seu tipo de aplicativo. Um modelo de autorização é um sistema para fornecer autorização para fazer solicitações com os componentes de autenticação nas integrações de API e SDK dos grupos de usuários do Amazon Cognito. O Amazon Cognito tem três modelos de autorização: autorizado pelo IAM, público e autorizado por token.

Com solicitações autorizadas pelo IAM, a autorização vem de uma assinatura de um conjunto de credenciais do AWS IAM no Authorization cabeçalho de uma solicitação. Para aplicativos do lado do servidor, essa prática protege as operações de autenticação com autorização do IAM. Com solicitações de autenticação públicas (não autenticadas), nenhuma autorização é necessária. Isso é adequado para aplicativos do lado do cliente distribuídos aos usuários. Com operações autorizadas por token, normalmente implementadas em combinação com operações públicas, a autorização vem de um token de sessão ou de um token de acesso incluído no Authorization cabeçalho da solicitação. A autenticação do Amazon Cognito normalmente exige que você implemente duas ou mais operações de API em ordem, e as operações de API que você usa dependem das características do seu aplicativo. Os clientes públicos, nos quais o aplicativo é distribuído aos usuários, usam operações públicas, nas quais as solicitações de login não exigem autorização. As operações autorizadas por tokens continuam a sessão de usuários em aplicativos públicos. Clientes do lado do servidor, em que a lógica do aplicativo está hospedada em um sistema remoto, protegem as operações de autenticação com a autorização do IAM para solicitações de login. Os pares de operações da API a seguir e seus métodos de SDK correspondentes são mapeados para os modelos de autorização disponíveis.

Cada operação de autenticação pública tem alguma forma de equivalente do lado do servidor, por exemplo e. UpdateUserAttributesAdminUpdateUserAttributes Embora as operações do lado do cliente sejam iniciadas pelo usuário e exijam confirmação, as operações do lado do servidor pressupõem que a alteração foi confirmada por um administrador do grupo de usuários e as alterações entram em vigor imediatamente. Neste exemplo, o Amazon Cognito envia uma mensagem com um código de confirmação para o usuário, e o token de acesso do usuário autoriza uma VerifyUserAttributesolicitação que envia o código. O aplicativo do lado do servidor pode definir imediatamente o valor de qualquer atributo, embora considerações especiais se apliquem à alteração do valor de endereços de e-mail e números de telefone quando eles são usados para login.

Para comparar a autenticação de API e ver uma lista completa das operações de API e seus modelos de autorização, consulteCompreendendo a autenticação de API, OIDC e páginas de login gerenciadas.

Client-side (public) authentication

A seguir está uma sequência típica de solicitações em um aplicativo do lado do cliente

1. A InitiateAuthoperação pública envia credenciais primárias, como nome de usuário e senha.

2. A RespondToAuthChallengeoperação autorizada pelo token envia um token de sessão a partir da InitiateAuth resposta e da resposta a um desafio, por exemplo, MFA. A autorização do token de sessão indica solicitações que fazem parte dos ciclos de not-yet-complete autenticação.

3. A ConfirmDeviceoperação autorizada pelo token envia um token de acesso e executa a operação de gravação de adicionar um dispositivo lembrado ao perfil do usuário. A autorização do token de acesso indica solicitações que são para operações de autoatendimento do usuário após a conclusão da autenticação.

Para obter mais informações, consulte Opções de autenticação do lado do cliente e Compreendendo a autenticação de API, OIDC e páginas de login gerenciadas.

Server-side authentication

A seguir está uma sequência típica de solicitações de uma operação do lado do servidor. Cada solicitação tem um cabeçalho de autorização AWS Signature versão 4 assinado com as credenciais da máquina IAM que foram emitidas para o servidor do aplicativo.

1. A AdminInitiateAuthoperação envia credenciais primárias, como nome de usuário e senha.

2. AdminRespondToAuthChallengeoperação envia a resposta a um desafio, por exemplo, MFA.

3. A AdminUpdateDeviceStatusoperação define a chave do dispositivo a partir da AdminInitiateAuth resposta conforme lembrada.

Para obter mais informações, consulte Opções de autenticação do lado do servidor e Compreendendo a autenticação de API, OIDC e páginas de login gerenciadas.

Um usuário faz a autenticação respondendo a desafios sucessivos até que ela falhe ou o Amazon Cognito emita tokens para o usuário. Você pode repetir essas etapas com o Amazon Cognito, em um processo que inclui desafios diferentes, para comportar qualquer fluxo de autenticação personalizado.

Opções de autenticação do lado do servidor

Os aplicativos Web e outros aplicativos do lado do servidor implementam a autenticação em um servidor remoto que um cliente carrega em um aplicativo de exibição remota, como um navegador ou uma sessão SSH. Os aplicativos do lado do servidor geralmente têm as seguintes características.

As operações do lado do servidor com a API de grupos de usuários podem usar senhas, senhas de uso único ou chaves de acesso como o principal fator de login. Para aplicações no lado do servidor, a autenticação do grupo de usuários é semelhante à das aplicações no lado do cliente, exceto pelo seguinte:

Para obter mais informações sobre a assinatura de solicitações da API do Amazon Cognito com AWS credenciais, consulte Processo de assinatura do Signature versão 4 na AWS Referência geral.

Na resposta AdminInitiateAuth ChallengeParameters, o atributo USER_ID_FOR_SRP, se estiver presente, incluirá o nome do usuário real, não um alias (como o endereço de e-mail ou o número de telefone). Na chamada para AdminRespondToAuthChallenge, nas ChallengeResponses, é necessário transmitir esse nome de usuário no parâmetro USERNAME.

Opções de autenticação do lado do cliente

Os aplicativos móveis e outros tipos de aplicativos do lado do cliente são instalados nos dispositivos dos usuários e executam a lógica da autenticação e da interface do usuário localmente. Eles normalmente têm as seguintes características.

As operações do lado do cliente com a API de grupos de usuários podem usar senhas, senhas de uso único ou chaves de acesso como o principal fator de login. O processo a seguir funciona para aplicativos do lado do cliente do usuário que você cria com AWS Amplifyou o. AWS SDKs

Compreendendo a autenticação de API, OIDC e páginas de login gerenciadas

Os grupos de usuários do Amazon Cognito são uma combinação de várias tecnologias de autenticação. Eles confiam em provedores de identidade externos (IdPs). Eles são IdPs para aplicativos que implementam autenticação com o OpenID Connect (OIDC). SDKs Eles fornecem autenticação como emissores de tokens web JSON (JWTs) semelhante à autenticação OIDC, mas em métodos de API que fazem parte do. AWS SDKs Eles também podem ser pontos de entrada seguros para seus aplicativos.

Quando quiser se inscrever, fazer login e gerenciar usuários no grupo de usuários, você terá duas opções.

Você pode vincular um usuário federado, que normalmente faria login por meio dos endpoints de grupos de usuários, a um usuário cujo perfil seja local para sua lista de usuários. Um usuário local existe exclusivamente em seu diretório de grupo de usuários sem federação por meio de um IdP externo. Se você vincular sua identidade federada a um usuário local em uma solicitação de AdminLinkProviderForUserAPI, ele poderá fazer login com a API de grupos de usuários. Para obter mais informações, consulte Vincular usuários federados a um perfil de usuário existente.

A API de grupos de usuários do Amazon Cognito tem duplo propósito.

Na API de grupos de usuários do Amazon Cognito, você não pode conectar usuários que se federam por meio de um IdP. É necessário autenticar esses usuários por meio dos endpoints de grupo de usuários. Para obter mais informações sobre os endpoints do grupo de usuários que incluem login gerenciado, consulteEndpoints do pool de usuários e referência de login gerenciado.

Seus usuários federados podem começar no login gerenciado e selecionar seu IdP, ou você pode pular o login gerenciado e enviar seus usuários diretamente ao seu IdP para fazer login. Quando a solicitação de API para Autorizar endpoint inclui um parâmetro de IdP, o Amazon Cognito redireciona silenciosamente o usuário para a página de login do IdP.

A API de grupos de usuários e as páginas de login gerenciadas oferecem suporte a vários cenários, descritos neste guia. As seções a seguir examinam como a API de grupos de usuários se divide ainda mais em classes que atendem aos seus requisitos de inscrição, login e gerenciamento de recursos.

Lista de operações de API agrupadas por modelo de autorização

A API de grupos de usuários do Amazon Cognito, tanto uma interface de gerenciamento de recursos quanto uma interface de autenticação e autorização voltada para o usuário, combina os modelos de autorização a seguir nas respectivas operações. Dependendo da operação da API, talvez seja necessário fornecer autorização com credenciais do IAM, um token de acesso, um token de sessão, um segredo do cliente ou uma combinação deles. Para muitas operações de autenticação e autorização de usuários, você pode escolher entre versões autenticadas e não autenticadas da solicitação. Operações não autenticadas são a prática recomendada de segurança para aplicações que você distribui para os usuários, como aplicações móveis; não é necessário incluir nenhum segredo no código.

Você pode atribuir permissões nas políticas do IAM somente para Operações de gerenciamento autorizadas pelo IAM e Operações de usuário autorizadas pelo IAM.