Criação de permissões verificadas da Amazon | fontes de identidade do Amazon Cognito

Para criar uma origem de identidade de grupos de usuários do Amazon Cognito

1. Abra o console de Permissões verificadas. Escolha seu repositório de políticas.

2. No painel de navegação à esquerda, escolha Origens de identidade.

3. Escolha Criar origem de identidade.

4. Em Detalhes do grupo de usuários do Cognito, selecione Região da AWS e insira o ID do grupo de usuários para sua fonte de identidade.

5. Em Configuração principal, em Tipo principal, escolha o tipo de entidade para principais dessa origem. As identidades dos grupos de usuários conectados do Amazon Cognito serão mapeadas para o tipo de entidade principal selecionado.

6. Em Configuração de grupo, selecione Usar grupo Cognito se quiser mapear a declaração do grupo cognito:groups de usuários. Escolha um tipo de entidade que seja pai do tipo principal.

7. Em Validação do aplicativo cliente, escolha se deseja validar o aplicativo IDs cliente.

   • Para validar o aplicativo cliente IDs, escolha Aceitar somente tokens com o aplicativo IDs cliente correspondente. Escolha Adicionar novo ID de aplicação cliente para cada ID de aplicação cliente a ser validado. Para remover um ID de aplicação cliente adicionado, escolha Remover ao lado do ID de aplicação cliente.

   • Escolha Não validar o aplicativo cliente IDs se você não quiser validar o aplicativo cliente. IDs

8. Escolha Criar origem de identidade.

9. (Opcional) Se seu repositório de políticas tiver um esquema, antes de fazer referência aos atributos extraídos dos tokens de identidade ou acesso em suas políticas do Cedar, você deverá atualizar seu esquema para que o Cedar conheça o tipo de principal que sua fonte de identidade cria. Essa adição ao esquema deve incluir os atributos que você deseja referenciar nas políticas do Cedar. Para obter mais informações sobre o mapeamento dos atributos de token do Amazon Cognito para os atributos de entidade principal do Cedar, consulte Mapeamento de tokens do Amazon Cognito para o esquema.

   nota

   Quando você cria um repositório de políticas vinculado à API ou usa Configurar com o API Gateway e um provedor de identidade ao criar repositórios de políticas, o Verified Permissions consulta seu grupo de usuários em busca de atributos de usuário e cria um esquema em que seu tipo principal é preenchido com atributos do grupo de usuários.

10. Crie políticas que usem informações dos tokens para tomar decisões de autorização. Para obter mais informações, consulte Criação de políticas estáticas do Amazon Verified Permissions.

1. Crie um config.txt arquivo que contenha os seguintes detalhes do grupo de usuários do Amazon Cognito para uso pelo --configuration parâmetro no create-identity-source comando.

   {
       "cognitoUserPoolConfiguration": {
           "userPoolArn": "arn:aws:cognito-idp:us-west-2:123456789012:userpool/us-west-2_1a2b3c4d5",
           "clientIds":["a1b2c3d4e5f6g7h8i9j0kalbmc"],
           "groupConfiguration": {
                 "groupEntityType": "MyCorp::UserGroup"
           }
       }
   }

2. Execute o comando a seguir para criar uma fonte de identidade do Amazon Cognito.

   $ aws verifiedpermissions create-identity-source \
       --configuration file://config.txt \
       --principal-entity-type "User" \
       --policy-store-id 123456789012
   {
       "createdDate": "2023-05-19T20:30:28.214829+00:00",
       "identitySourceId": "ISEXAMPLEabcdefg111111",
       "lastUpdatedDate": "2023-05-19T20:30:28.214829+00:00",
       "policyStoreId": "PSEXAMPLEabcdefg111111"
   }

3. (Opcional) Se seu repositório de políticas tiver um esquema, antes de fazer referência aos atributos extraídos dos tokens de identidade ou acesso em suas políticas do Cedar, você deverá atualizar seu esquema para que o Cedar conheça o tipo de principal que sua fonte de identidade cria. Essa adição ao esquema deve incluir os atributos que você deseja referenciar nas políticas do Cedar. Para obter mais informações sobre o mapeamento dos atributos de token do Amazon Cognito para os atributos de entidade principal do Cedar, consulte Mapeamento de tokens do Amazon Cognito para o esquema.

   nota

   Quando você cria um repositório de políticas vinculado à API ou usa Configurar com o API Gateway e um provedor de identidade ao criar repositórios de políticas, o Verified Permissions consulta seu grupo de usuários em busca de atributos de usuário e cria um esquema em que seu tipo principal é preenchido com atributos do grupo de usuários.

4. Crie políticas que usem informações dos tokens para tomar decisões de autorização. Para obter mais informações, consulte Criação de políticas estáticas do Amazon Verified Permissions.