Как предоставить доступ к определенным группам пользователей в Cognito с помощью Appsync - PullRequest
Новая
       74

Как предоставить доступ к определенным группам пользователей в Cognito с помощью Appsync

0 голосов
/ 01 марта 2019

Я недавно попал в AWS и использую appsync вместе с динамо-таблицей с idex для идентификатора пользователя (из пула cognito), чтобы предоставить только определенному пользователю доступ к определенным данным.Теперь я хотел бы еще более подробно остановиться на этом, а также предоставить доступ к определенным группам конгнито.Вот мой код:

1-й.моя мутация 

    ## [Start] Prepare DynamoDB PutItem Request. **
$util.qr($context.args.input.put("createdAt", $util.time.nowISO8601()))
$util.qr($context.args.input.put("updatedAt", $util.time.nowISO8601()))
$util.qr($context.args.input.put("__typename", "Patient"))

## This line adds the userId, accessed from the $ctx.identity variable
$util.qr($context.args.input.put("userId", $ctx.identity.sub))
$util.qr($context.args.input.put("Groupi", $ctx.identity.claims.get("cognito:groups")))



{
  "version": "2017-02-28",
  "operation": "PutItem",
  "key": {
      "id":     $util.dynamodb.toDynamoDBJson($util.defaultIfNullOrBlank($ctx.args.input.id, $util.autoId()))
  },
  "attributeValues": $util.dynamodb.toMapValuesJson($context.args.input),
  "condition": {
      "expression": "attribute_not_exists(#id)",
      "expressionNames": {
          "#id": "id"
    }
  }
}

и запрос 

#set( $limit = $util.defaultIfNull($context.args.limit, 10) )

{
    "version" : "2017-02-28",
    "operation" : "Query",
    "limit": $limit,
    "index": "userId-index",
    "query" : {
        "expression": "userId = :userId",
        "expressionValues" : {
            ":userId" : $util.dynamodb.toDynamoDBJson($ctx.identity.sub)
        }
    },
    "nextToken":   #if( $context.args.nextToken )
      "$context.args.nextToken"

     #else
     null
    #end
}

Я хотел бы расширить запрос, чтобы также поддержать группу.Помощь будет высоко ценится.Спасибо!

1 Ответ

0 голосов
/ 02 марта 2019

В документах по авторизации есть много примеров, которые могут оказаться полезными: https://docs.aws.amazon.com/appsync/latest/devguide/security-authorization-use-cases.html

В частности, этот: 

#set($expression = "")
#set($expressionValues = {})
#foreach($group in $context.identity.claims.get("cognito:groups"))
    #set( $expression = "${expression} contains(groupsCanAccess, :var$foreach.count )" )
    #set( $val = {})
    #set( $test = $val.put("S", $group))
    #set( $values = $expressionValues.put(":var$foreach.count", $val))
    #if ( $foreach.hasNext )
    #set( $expression = "${expression} OR" )
    #end
#end
{
    "version" : "2017-02-28",
    "operation" : "Scan",
    "limit": #if(${context.arguments.count}) "${context.arguments.count}" #else 20 #end,
    "nextToken": #if(${context.arguments.nextToken}) "${context.arguments.nextToken}" #else null #end,
    "filter":{
        "expression": "$expression",
        "expressionValues": $utils.toJson($expressionValues)
    }
}

В этом примере содержится дополнительная информация, так как речь идет о вызове спискаа не простой get, однако вы можете видеть, что он установлен в значениях выражения / выражения.Эта реализация выглядит несколько иначе, чем у вас, поскольку она позволяет пользователю быть в нескольких группах, любая из которых может работать.

Имеет ли это смысл?

...