Ключ AWS Cognito и Private Access в приложении

Question

Я читаю здесь :

У вас есть мобильное приложение.Не вставляйте ключ доступа в приложение, даже в зашифрованном хранилище.Вместо этого используйте Amazon Cognito для управления идентификацией пользователя в вашем приложении

Я хочу кое-что понять.Если я использую неаутентифицированные идентификационные данные в Cognito AWS, то же самое, что встроить ключ доступа в приложение, потому что любому, у кого есть доступ к Интернету, могут быть предоставлены учетные данные AWS?

Включение этой опции означает, что любой, имеющий интернетдоступ может быть предоставлен учетные данные AWS.Неаутентифицированные удостоверения - это, как правило, пользователи, которые не входят в ваше приложение.Как правило, разрешения, которые вы назначаете для неаутентифицированных идентификаторов, должны быть более строгими, чем для аутентифицированных.

Может кто-нибудь объяснить, в чем разница между встраиванием ключа доступа с приложением и использовать Cognito для неаутентифицированных личностей ?

Answer 1

Позвольте мне объяснить их ясно.

Если вы жестко закодировали свой идентификатор ключа доступа, секретный ключ доступа и токен сеанса, это означает, что вы встраиваете высокочувствительные данные в свое приложение.Примером этого является следующий:

AwsSessionCredentials awsCreds = AwsSessionCredentials.create(
    "your_access_key_id_here",
    "your_secret_key_id_here",
    "your_session_token_here");

Пулы идентификации Cognito используются для создания временных идентификаторов ключей доступа AWS, секретных ключей доступа и токенов сеанса.Это возвращается вызовами API GetId и GetCredentialsForIdentity .Это неподписанные (не подписанные SigV4) вызовы API, и вы можете получить временные учетные данные AWS без указания карты параметров входа в систему в качестве аргумента в вызове API.

Рекомендуется использовать API Cognito Identity Pool.вызовы (которые обрабатываются AWS STS) вместо жесткого кодирования конфиденциальных данных, поскольку каждое приложение может быть подвержено реверс-инжинирингу.