Как я могу ограничить доступ к сервису aws-cognito?

Question

Я хотел бы ограничить доступ к моей службе Cognito.

Моя задача - отфильтровать все вызовы cognito, добавив серверный слой, который позволяет мне выполнять определенные действия, когда пользователь использует сервис.

Я знаю, что запуск событий является правильным способом сделать это, но события в Cognito очень ограничены, и многие вещи не могут быть сделаны. Например, если аутентификация по какой-либо причине не удалась, событие postAuthentication не вызывается.

Другим вариантом использования может быть проверка атрибута или ограничение чтения какого-либо атрибута.

Единственная идея, которую я имею, - это скрыть IdentityPoolId или UserPoolClientId, но кажется довольно небезопасным.

Answer 1

Существует два подхода к использованию AWS Cognito UserPools.

1. Использование размещенного пользовательского интерфейса.
2. Использование SDK / RESTAPI и реализация собственного интерфейса API и пользовательского интерфейса.

Использование размещенного пользовательского интерфейса

Если вы выберете первый вариант, AWS в значительной степени управляет всем этим, и ваш контроль ограничен. Однако вы можете выполнить определенную настройку с помощью триггеров. С другой стороны, у вас меньше рисков с вашей стороны, поскольку вы поддерживаете ограниченный код.

Использование SDK / RESTAPI

Если вы выберете второй вариант, вы можете ограничить Cognito UserPools по мере необходимости, поместив логику в свой собственный код. Это позволяет ограничить доступ по вашему желанию. Однако вы должны написать собственный код для аутентификации и регистрации пользователей .

Смесь обоих

Также возможно использовать сочетание этих подходов. Например, вы можете написать собственный код для регистрации, но для входа используйте размещенный пользовательский интерфейс.

Пользовательские атрибуты и претензии

Также, если вы планируете возвращать атрибуты на основе ваших пользовательских правил, используйте триггер предварительного создания токенов. Amazon Cognito вызывает этот триггер перед генерацией токенов, позволяя настроить утверждения токенов идентификации.

Примечание. Аналогичный подход может быть применен для пулов идентификации Cognito.