Konfiguration von AWS Anmeldeinformationen mit Amazon Cognito für DynamoDB

So konfigurieren Sie Anmeldeinformationen für die Integration in Amazon Cognito

1. Erstellen Sie einen Amazon Cognito-Identitäten-Pool, der nicht authentifizierte Identitäten zulässt.

   aws cognito-identity create-identity-pool \
       --identity-pool-name DynamoPool \
       --allow-unauthenticated-identities \
       --output json
   {
       "IdentityPoolId": "us-west-2:12345678-1ab2-123a-1234-a12345ab12",
       "AllowUnauthenticatedIdentities": true,
       "IdentityPoolName": "DynamoPool"
   } 

2. Kopieren Sie die folgende Richtlinie in eine Datei mit dem Namen myCognitoPolicy.json. Ersetzen Sie die Identitätspool-ID (us-west-2:12345678-1ab2-123a-1234-a12345ab12) durch Ihre eigene, die Sie im vorherigen Schritt IdentityPoolId erhalten haben.

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Federated": "cognito-identity.amazonaws.com"
         },
         "Action": "sts:AssumeRoleWithWebIdentity",
         "Condition": {
           "StringEquals": {
             "cognito-identity.amazonaws.com:aud": "us-west-2:12345678-1ab2-123a-1234-a12345ab12"
           },
           "ForAnyValue:StringLike": {
             "cognito-identity.amazonaws.com:amr": "unauthenticated"
           }
         }
       }
     ]
   }

3. Erstellen Sie eine IAM Rolle, die die vorherige Richtlinie übernimmt. Auf diese Weise wird Amazon Cognito zu einer vertrauenswürdigen Entität, welche die Cognito_DynamoPoolUnauth-Rolle übernehmen kann.

   aws iam create-role --role-name Cognito_DynamoPoolUnauth \
   --assume-role-policy-document file://PathToFile/myCognitoPolicy.json --output json 

4. Gewähren Sie der Rolle Cognito_DynamoPoolUnauth vollen Zugriff auf DynamoDB, indem Sie eine verwaltete Richtlinie anfügen (AmazonDynamoDBFullAccess).

   aws iam attach-role-policy --policy-arn arn:aws:iam::aws:policy/AmazonDynamoDBFullAccess \
   --role-name Cognito_DynamoPoolUnauth 

   Anmerkung

   Alternativ können Sie einen fein abgestimmten Zugriff auf DynamoDB gewähren. Weitere Informationen finden Sie unter Verwenden von IAM Richtlinienbedingungen für eine differenzierte Zugriffskontrolle.

5. Besorgen Sie sich die IAM Rolle Amazon Resource Name (ARN) und kopieren Sie sie.

   aws iam get-role --role-name Cognito_DynamoPoolUnauth --output json 

6. Fügen Sie die Cognito_DynamoPoolUnauth-Rolle dem DynamoPool-Identitäten-Pool hinzu. Das anzugebende Format istKeyName=string, where KeyName is, unauthenticated und die Zeichenfolge ist die Rolle, die Sie im vorherigen Schritt ARN erhalten haben.

   aws cognito-identity set-identity-pool-roles \
   --identity-pool-id "us-west-2:12345678-1ab2-123a-1234-a12345ab12" \
   --roles unauthenticated=arn:aws:iam::123456789012:role/Cognito_DynamoPoolUnauth --output json

7. Geben Sie die Amazon-Cognito-Anmeldeinformationen in den Dateien an. Ändern Sie IdentityPoolId und RoleArn entsprechend.

   AWS.config.credentials = new AWS.CognitoIdentityCredentials({
   IdentityPoolId: "us-west-2:12345678-1ab2-123a-1234-a12345ab12",
   RoleArn: "arn:aws:iam::123456789012:role/Cognito_DynamoPoolUnauth"
   });