创建亚马逊验证权限亚马逊 Cognito 身份源

要创建 Amazon Cognito 用户群体身份来源，请按以下步骤操作：

1. 打开已验证权限控制台。选择您的保单商店。

2. 在左侧的导航窗格中，选择身份来源。

3. 选择创建身份来源。

4. 在 Cognito 用户池详细信息中，选择 AWS 区域 并输入您的身份源的用户池 ID。

5. 在承担者配置中，对于 “委托人类型”，为来自该来源的委托人选择实体类型。连接的 Amazon Cognito 用户群体中的身份将映射到所选的主体类型。

6. 如果要映射用户池cognito:groups声明，请在 “群组配置” 中选择 “使用 Cognito 群组”。选择作为主体类型的父项的实体类型。

7. 在客户端应用程序验证中，选择是否验证客户端应用程序 IDs。

   • 要验证客户端应用程序 IDs，请选择 “仅接受具有匹配客户端应用程序的令牌” IDs。为每个要验证的客户端应用程序 ID 选择添加新客户端应用程序 ID。要删除已添加的客户端应用程序 ID，请选择该客户端应用程序 ID 旁边的删除。

   • IDs如果您不想验证客户端应用程序，请选择不验证客户端应用程序 IDs。

8. 选择创建身份来源。

9. （可选）如果您的策略存储具有架构，则必须先更新架构，让 Cedar 知道您的身份源创建的主体类型，然后才能引用从 Cedar 策略中的身份或访问令牌中提取的属性。架构中的新增内容必须包含您要在 Cedar 策略中引用的属性。有关将 Amazon Cognito 令牌属性映射到 Cedar 主体属性的更多信息，请参阅将 Amazon Cognito 令牌映射到架构。

   注意

   当您创建与 API 关联的策略存储或在创建策略存储时使用 API Gateway 和身份提供商设置时，Verified Permissions 会查询您的用户池以获取用户属性，并创建一个使用用户池属性填充您的委托人类型的架构。

10. 创建使用令牌中的信息做出授权决策的策略。有关更多信息，请参阅 创建 Amazon Verified Permissions 静态策略。

1. 创建一个包含 Amazon Cognito 用户池的以下详细信息的config.txt文件，供命令中的--configurationcreate-identity-source参数使用。

   {
       "cognitoUserPoolConfiguration": {
           "userPoolArn": "arn:aws:cognito-idp:us-west-2:123456789012:userpool/us-west-2_1a2b3c4d5",
           "clientIds":["a1b2c3d4e5f6g7h8i9j0kalbmc"],
           "groupConfiguration": {
                 "groupEntityType": "MyCorp::UserGroup"
           }
       }
   }

2. 运行以下命令创建 Amazon Cognito 身份源。

   $ aws verifiedpermissions create-identity-source \
       --configuration file://config.txt \
       --principal-entity-type "User" \
       --policy-store-id 123456789012
   {
       "createdDate": "2023-05-19T20:30:28.214829+00:00",
       "identitySourceId": "ISEXAMPLEabcdefg111111",
       "lastUpdatedDate": "2023-05-19T20:30:28.214829+00:00",
       "policyStoreId": "PSEXAMPLEabcdefg111111"
   }

3. （可选）如果您的策略存储具有架构，则必须先更新架构，让 Cedar 知道您的身份源创建的主体类型，然后才能引用从 Cedar 策略中的身份或访问令牌中提取的属性。架构中的新增内容必须包含您要在 Cedar 策略中引用的属性。有关将 Amazon Cognito 令牌属性映射到 Cedar 主体属性的更多信息，请参阅将 Amazon Cognito 令牌映射到架构。

   注意

   当您创建与 API 关联的策略存储或在创建策略存储时使用 API Gateway 和身份提供商设置时，Verified Permissions 会查询您的用户池以获取用户属性，并创建一个使用用户池属性填充您的委托人类型的架构。

4. 创建使用令牌中的信息做出授权决策的策略。有关更多信息，请参阅 创建 Amazon Verified Permissions 静态策略。