Каким образом федеративный идентификатор удостоверения заполняется и отправляется в политики IAM?

Question

Я хочу знать, откуда это значение ${cognito-identity.amazonaws.com:sub} заполнено.Я проверил в Cognito токен идентификации JWT, где sub будет иметь username Cognito.Я не могу видеть федеративный идентификатор в любом месте в токене JWT Id.Я вижу только идентификатор, сгенерированный в объединенном пуле удостоверений.

Является ли это хешем идентификатора cognito и объединенного пула?

Потому что, если он берет из токена JWT, я хочу передать custom:Attribute1 в эту переменную динамически ${cognito-identity.amazonaws.com:custom:Attribute1} в роли IAMDynamoDB?

Спасибо. Любая помощь оценена

Answer 1

В Cognito Federated Identity имя пользователя из пула пользователей не сохраняется за границей федерации.Вместо этого его обменивают на идентификационный идентификатор, который согласуется для будущих взаимодействий с этим пользователем.В это время вам нужно будет поддерживать собственное отображение имени пользователя -> идентификатор личности.Другой вариант - не использовать Federated Identity и передавать свои запросы в DynamoDB через API-шлюз через авторизаторы Cognito User Pool, чтобы у вас был доступ к имени пользователя конечного пользователя.