AWS Cognito и пользовательские роли

Question

Я новичок в AWS ... У нас есть собственная аутентификация и авторизация пользователей.Мы определяем полномочия (роли) в терминах компании, роль1 позволяет вам выполнять задачи1 и задачи2.Role2 позволяет выполнять только задачи 3.

Я вижу, как я могу использовать Cognito для управления своими пользователями и паролями.Неясно, использую ли я Cognito для проверки ролей, т.е. авторизации.

Мысли?

Answer 1

В пуле пользователей Cognito можно определить как пользователей, так и группы, которые можно использовать для получения детальных разрешений RBAC.Вы можете определить пользовательский атрибут в модели пользователя (например, «отдел» или «роль») и сопоставить этот атрибут с группами.

https://docs.aws.amazon.com/cognito/latest/developerguide/cognito-user-pools-user-groups.html

Каждая группа может быть дополнительно связана сроль IAM, поэтому можно ограничить доступ к ресурсам AWS (например, определенным таблицам DynamoDB) по группам - как дополнительный уровень безопасности.

Однако, если вам не нужно / не нужно отображать пользователейдля различных ролей IAM, может быть, просто обрабатывать аутентификацию полностью из вашего приложения.