Acionadores do Lambda de desafio personalizado de autenticação

Ao criar seus fluxos de autenticação para seu grupo de usuários do Amazon Cognito, você pode querer estender seu modelo de autenticação além dos fluxos integrados. Um caso de uso comum dos acionadores de desafio personalizados é implementar verificações de segurança adicionais além do nome de usuário, senha e autenticação multifator (MFA). Desafio personalizado é qualquer pergunta e resposta que você possa gerar em uma linguagem de programação compatível com Lambda. Por exemplo, você pode exigir que os usuários resolvam um CAPTCHA ou respondam a uma pergunta de segurança antes de poderem se autenticar. Outra necessidade potencial é a integração com fatores ou dispositivos de autenticação especializados. Ou talvez você já tenha desenvolvido um software que autentica usuários com uma chave de segurança de hardware ou um dispositivo biométrico. A definição de sucesso na autenticação para um desafio personalizado é qualquer resposta que sua função do Lambda aceite como correta: uma string fixa, por exemplo, ou uma resposta satisfatória de uma API externa.

Você pode iniciar a autenticação com seu desafio personalizado e controlar totalmente o processo de autenticação, ou pode realizar a autenticação por nome de usuário e senha antes que sua aplicação receba seu desafio personalizado.

O acionador do Lambda do desafio de autenticação personalizada:

Essas três funções do Lambda se agrupam para apresentar um mecanismo de autenticação que está completamente sob seu controle e sob seu próprio padrão. Como a autenticação personalizada requer lógica de aplicação no seu cliente e nas funções do Lambda, você não pode processar a autenticação personalizada no login gerenciado. Esse sistema de autenticação exige um esforço adicional do desenvolvedor. Sua aplicação deve realizar o fluxo de autenticação com a API de grupos de usuários e lidar com o desafio resultante com uma interface de login personalizada que coloque a pergunta no centro do desafio de autenticação personalizada.

Para mais informações sobre como implementar uma autenticação personalizada, consulte Fluxo de autenticação personalizado e desafios.

A autenticação entre as operações de API InitiateAuth ou AdminInitiateAuth, e RespondToAuthChallenge ou AdminRespondToAuthChallenge. Nesse fluxo, um usuário faz a autenticação respondendo desafios sucessivos até que ela falhe ou ele receba os tokens. Uma resposta ao desafio pode ser um novo desafio. Nesse caso, sua aplicação responde quantas vezes forem necessárias aos novos desafios. A autenticação bem-sucedida acontece quando a função define auth analisa os resultados até o momento, determina que todos os desafios foram respondidos e retorna IssueTokens.

Autenticação SRP em fluxos de desafio personalizados

Você pode fazer com que o Amazon Cognito verifique senhas de usuário antes que ele emita seus desafios personalizados. Todos os gatilhos do Lambda associados à categoria Autenticação das cotas de taxa de solicitação serão executados quando você realizar a autenticação SRP em um fluxo de desafio personalizado. Veja uma visão geral do processo:

O exemplo a seguir mostra uma solicitação InitiateAuth inicial que precede a autenticação personalizada com um fluxo SRP.

{
    "AuthFlow": "CUSTOM_AUTH",
    "ClientId": "1example23456789",
    "AuthParameters": {
        "CHALLENGE_NAME": "SRP_A",
        "USERNAME": "testuser",
        "SRP_A": "[SRP_A]",
        "SECRET_HASH": "[secret hash]"
    }
}

Redefinição de senha no fluxo SRP de autenticação personalizada

Quando os usuários têm status FORCE_CHANGE_PASSWORD, seu fluxo de autenticação personalizado deve integrar a etapa de alteração de senha e, ao mesmo tempo, manter a integridade de seus desafios de autenticação. O Amazon Cognito invoca seu acionador do Lambda desafio de definição de autenticação durante o desafio NEW_PASSWORD_REQUIRED. Nesse cenário, um usuário que faz login com um fluxo de desafio personalizado e autenticação SRP pode definir uma nova senha se estiver em um estado de redefinição de senha.

Quando os usuários têm o status FORCE_CHANGE_PASSWORD ou RESET_REQUIRED, eles devem responder a um desafio NEW_PASSWORD_REQUIRED com um NEW_PASSWORD. Na autenticação personalizada com SRP, o Amazon Cognito retorna um desafio NEW_PASSWORD_REQUIRED depois que os usuários concluem o desafio PASSWORD_VERIFIER SRP. Seu acionador de desafio de definição de autenticação recebe os dois resultados do desafio na matriz session e pode continuar com desafios personalizados adicionais depois que o usuário alterar a senha com sucesso.

Seu acionador do Lambda do desafio de autenticação definido deve gerenciar a sequência de desafios pela autenticação SRP, redefinição de senha e desafios personalizados subsequentes. O acionador recebe uma matriz de desafios concluídos no parâmetro session, incluindo os resultados PASSWORD_VERIFIER e NEW_PASSWORD_REQUIRED. Para obter um exemplo de implementação, consulte Exemplo de definição do desafio de autenticação.

Etapas do fluxo de autenticação

Para usuários que precisam verificar a senha antes de desafios personalizados, o processo segue estas etapas:

Se você não quiser iniciar seu fluxo de autenticação personalizado com a verificação de senha, poderá iniciar o login com o mapa AuthParameters incluindo CHALLENGE_NAME: CUSTOM_CHALLENGE.

Gerenciamento de sessões

O fluxo de autenticação mantém a continuidade da sessão por uma série de IDs de sessão e resultados de desafios. Cada resposta ao desafio gera um novo ID de sessão para evitar erros de reutilização da sessão, o que é importante principalmente para fluxos de autenticação multifator.

Os resultados do desafio são armazenados cronologicamente na matriz de sessões que seus acionadores do Lambda recebem. Para usuários com status FORCE_CHANGE_PASSWORD, a matriz da sessão contém:

Exemplo de fluxo de autorização

O exemplo a seguir demonstra um fluxo completo de autenticação personalizada para um usuário com status FORCE_CHANGE_PASSWORD que precisa concluir a alteração da senha e um desafio CAPTCHA personalizado.

6. Resposta final de sucesso

{
    "AuthenticationResult": {
        "AccessToken": "eyJra456defEXAMPLE",
        "ExpiresIn": 3600,
        "IdToken": "eyJra789ghiEXAMPLE",
        "RefreshToken": "eyJjd123abcEXAMPLE",
        "TokenType": "Bearer"
    },
    "ChallengeParameters": {}
}