Я все еще новичок в Cognito и использовал настройки по умолчанию MobileHub.
Сегодня я понял, что любой, обладающий следующей информацией, может запросить информацию о любом пользователе в моем пуле.
- мой идентификатор аккаунта AWS
- Мой идентификатор пула когнитивных пользователей
Поскольку атрибуты пользователей часто включают адреса электронной почты и телефонные номера, я не хочу, чтобы люди могли их отменить.
Простой код Python ниже делает работу
import boto3
import requests
from requests_aws4auth import AWS4Auth
region_name = 'us-east-1'
account_id = 'xxxxxxxxxx'
upoolid = 'us-east-1_xxxxxxxxx'
# Create a new identity
boto3.setup_default_session(region_name = region_name)
client = boto3.client('cognito-idp', region_name=region_name)
response = client.admin_get_user(
UserPoolId=upoolid,
Username='name of a user'
)
Вопрос: я что-то неправильно настроил? Или я должен считать идентификатор учетной записи AWS или идентификатор пула Cognito конфиденциальным?