將自訂屬性傳送至 Amazon Cognito，並將其插入字符

Carlos Alessandro Ribeiro 和 Mauricio Mendoza，Amazon Web Services

Summary

將自訂屬性傳送至 Amazon Cognito 身分驗證程序可為應用程式提供額外的內容、啟用更精細的存取控制，並讓您更輕鬆地管理使用者設定檔和身分驗證要求。這些功能在各種應用程式和案例中都很有用，可協助您改善應用程式的整體安全性和功能。

此模式顯示當應用程式需要為存取字符或身分 (ID) 字符提供額外的內容時，如何將自訂屬性傳送至 Amazon Cognito 身分驗證程序。您可以使用 Node.js 做為後端應用程式。應用程式會從 Amazon Cognito 使用者集區驗證使用者，並傳遞產生字符所需的自訂屬性。您可以使用 Amazon Cognito AWS Lambda 的觸發條件來自訂身分驗證程序，而無需進行主要程式碼自訂或大量工作。

先決條件和限制

先決條件

限制

架構

目標架構

下圖顯示此模式的目標架構。它也會顯示 Node.js 應用程式如何與後端搭配使用來更新資料庫。不過，後端資料庫更新超出此模式的範圍。

該圖顯示以下工作流程：

自動化和擴展

您可以使用 、、HashiCorp Terraform 或任何支援的基礎設施即程式碼 (IaC) 工具AWS CloudFormation，自動佈建 Amazon Cognito 使用者集區、 AWS Lambda 函數AWS Cloud Development Kit (AWS CDK)、資料庫執行個體和其他資源。如果您想要擴展部署，請使用持續整合和持續交付 (CI/CD) 管道，這有助於防止與手動部署相關的錯誤。

工具

AWS 服務

其他工具

最佳實務

我們建議您實作下列最佳實務：

如需其他最佳實務，請參閱 Amazon Cognito 文件中的 Amazon Cognito 使用者集區的安全最佳實務。 Amazon Cognito

史詩

aws cognito-idp sign-up \
   --client-id <ClientID> \
   --username <jane@example.com> \
   --password <PASSWORD> \
   --user-attributes Name="email",Value="<jane@example.com>" Name="name",Value="<Jane>"

export USERNAME="<COGNITO_USER_NAME>"
export PASSWORD="<COGNITO_USER_PASSWORD>"
export USER_POOL_ID="<COGNITO_USER_ID>"
export CLIENT_ID="<COGNITO_CLIENT_ID>"

npm run build
npm start

故障診斷

相關資源

其他資訊

範例 TypeScript 檔案

下列程式碼範例是 TypeScript 檔案，使用 AWS SDK 將自訂屬性傳送至 Amazon Cognito 來叫用身分驗證程序：

import * as AmazonCognitoIdentity from "amazon-cognito-identity-js";

const userPoolId: string = process.env.USER_POOL_ID ?? '';
const clientId: string = process.env.CLIENT_ID ?? '';

const poolData = {
  UserPoolId: userPoolId,
  ClientId: clientId
};
const userPool = new AmazonCognitoIdentity.CognitoUserPool(poolData);

export const loginWithCognitoSDK = function (userName: string, password: string) {
  const authenticationDetails = new AmazonCognitoIdentity.AuthenticationDetails({
    Username: userName,
    Password: password,
    ClientMetadata: {
        customGroup: "MyCustomGroup",
        customApplicationData: "Custom data from a custom application"
    }
  });
  const userData = {
    Username: userName,
    Pool: userPool
  };

  const cognitoUser = new AmazonCognitoIdentity.CognitoUser(userData);

  // Authenticate the user using the authenticationDetails object
  cognitoUser.authenticateUser(authenticationDetails, {
    onSuccess: function (result: any) {},
    onFailure: function (err: any) {},
  });
}
loginWithCognitoSDK(process.env.USERNAME ?? '', process.env.PASSWORD ?? '');

範例使用適用於 JavaScript 的 開發套件的 AuthenticationDetails模型來提供使用者名稱、密碼和 ClientMetadada。在 Amazon Cognito 中驗證之後，可以從存取和 ID 字符擷取用戶端中繼資料。

Lambda 函數範例

下列程式碼範例是連結至 Amazon Cognito 產生前字符的 Lambda 函數。它可協助您自訂 Amazon Cognito 使用的存取字符和 ID 字符。權杖會透過架構之間的整合傳遞。此範例包含名為 的自訂宣告屬性，customApplicationData以及名為 的自訂群組名稱MyCustomGroup：

export const handler = async(event, context, callback) => {
    event.response = {
        claimsOverrideDetails: {
            claimsToAddOrOverride: { customApplicationData: event.request.clientMetadata.customApplicationData },
            groupOverrideDetails: { groupsToOverride: [event.request.clientMetadata.customGroup] }
        }
    };
    callback(null, event);
};

存取字符範例

您可以解碼存取權杖，以視覺化已新增的自訂屬性。以下是存取字符的範例：

{
  "sub": "6daf331f-4451-48b4-abde-774579299204",
  "cognito:groups": [
    "MyCustomGroup"
  ],
  "iss": "https://cognito-idp.<REGION>.amazonaws.com/<USERPOOL_ID>",
  "client_id": "<YOUR_CLIENT_ID>",
  "origin_jti": "acff7e91-09f9-4fde-8eec-38b0f8c47cdc",
  "event_id": "c5113a9c-1f01-435b-9b73-a5cd3e88514e",
  "token_use": "access",
  "scope": "aws.cognito.signin.user.admin",
  "auth_time": 1677979246,
  "exp": 1677982846,
  "iat": 1677979246,
  "jti": "5c9c2708-a871-4428-bd9b-18ad261bea90",
  "username": "<USER_NAME>"
}

範例 ID 字符

您可以解碼存取權杖，以視覺化已新增的自訂屬性。以下是存取字符的範例：

{
  "sub": "6daf331f-4451-48b4-abde-774579299204",
  "cognito:groups": [
    "MyCustomGroup"
  ],
  "iss": "https://cognito-idp.<REGION>.amazonaws.com/<USERPOOL_ID>",
  "cognito:username": "<USER_NAME>",
  "origin_jti": "acff7e91-09f9-4fde-8eec-38b0f8c47cdc",
  "customApplicationData": "Custom data from a custom application",
  "aud": "<YOUR_CLIENT_ID>",
  "event_id": "c5113a9c-1f01-435b-9b73-a5cd3e88514e",
  "token_use": "id",
  "auth_time": 1677979246,
  "exp": 1677982846,
  "iat": 1677979246,
  "jti": "f7ca006b-f25b-44d2-a7a4-6e6423f4201f",
  "email": "<USER_EMAIL>"
}