Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Der Endpunkt des Token-Ausstellers

Der OAuth 2.0-Token-Endpunkt unter /oauth2/token gibt JSON-Web-Tokens (JWTs) an Anwendungen aus, die die Zuteilung von Autorisierungscode und Client-Anmeldeinformationen abschließen möchten. Diese Token sind das Endergebnis der Authentifizierung mit einem Benutzerpool. Sie enthalten Informationen über den Benutzer (ID-Token), die Zugriffsebene des Benutzers (Zugriffstoken) und die Berechtigung des Benutzers, seine angemeldete Sitzung beizubehalten (Aktualisierungstoken). OpenID Connect (OIDC) -Relying-Party-Bibliotheken verarbeiten Anfragen an und beantworten Payloads von diesem Endpunkt. Tokens bieten einen überprüfbaren Authentifizierungsnachweis, Profilinformationen und einen Mechanismus für den Zugriff auf Backend-Systeme.

Der Token-Endpunkt gibt einen Access-Control-Allow-Origin: * Antwort-Header zurück. Sie können den Token-Endpunkt von einer browserbasierten Anwendung aus quellübergreifend aufrufen. Beispielsweise können Sie die Erteilung eines Autorisierungscodes mit Proof Key for Code Exchange (PKCE) von einem öffentlichen Client aus abschließen. Amazon Cognito unterstützt auf diesem Endpunkt keine benutzerdefinierten CORS-Ursprungsrichtlinien (Cross-Origin Resource Sharing). Weitere Informationen finden Sie im Abschnitt zu den CORS-Richtlinien von. Vom Benutzerpool verwaltete Anmeldung

Ihr OAuth 2.0-Autorisierungsserver für Benutzerpools gibt JSON-Web-Tokens (JWTs) vom Token-Endpunkt an die folgenden Sitzungstypen aus:

Der Token-Endpunkt wird öffentlich verfügbar, wenn Sie Ihrem Benutzerpool eine Domain hinzufügen. Er akzeptiert HTTP-POST-Anfragen. Verwenden Sie PKCE aus Sicherheitsgründen zusammen mit Ihren Autorisierungscode-Anmeldeereignissen. PKCE überprüft, ob der Benutzer, der einen Autorisierungscode übergibt, derselbe Benutzer ist, der sich authentifiziert hat. Weitere Informationen zu PKCE finden Sie unter IETF RFC 7636.

Weitere Informationen über die App-Clients des Benutzerpools und ihre Gewährungstypen, Client-Geheimnisse, erlaubten Bereiche und Client-IDs finden Sie unter. Anwendungsspezifische Einstellungen mit App-Clients Weitere Informationen zur M2M-Autorisierung, zur Gewährung von Client-Anmeldeinformationen und zur Autorisierung mit Zugriffstoken-Gültigkeitsbereichen finden Sie unter. Bereiche, M2M und Ressourcenserver

Um Informationen über einen Benutzer aus seinem Zugriffstoken abzurufen, geben Sie diese an Ihre UserInfo-Endpunkt oder eine GetUser API-Anfrage weiter. Das Zugriffstoken muss die entsprechenden Bereiche für diese Anfragen enthalten.

Formatieren Sie eine POST-Anforderung für den Token-Endpunkt

Der /oauth2/token Endpunkt unterstützt ausschließlich HTTPS POST. Dieser Endpunkt ist nicht benutzerinteraktiv. Behandeln Sie Token-Anfragen mit einer OpenID Connect (OIDC) -Bibliothek in Ihrer Anwendung.

Der Token-Endpunkt unterstützt client_secret_basic- und client_secret_post-Authentifizierung. Weitere Informationen zur OIDC-Spezifikation finden Sie unter Client-Authentifizierung. https://openid.net/specs/openid-connect-core-1_0.html#ClientAuthentication Weitere Informationen zum Token-Endpunkt aus der OpenID-Connect-Spezifikation finden Sie unter Token-Endpunkt.

Anfrageparameter im Header

Sie können die folgenden Parameter im Header Ihrer Anfrage an den Token-Endpunkt übergeben.

Anfrageparameter im Fließtext

Die folgenden Parameter können Sie im x-www-form-urlencoded Format im Anforderungstext für den Token-Endpunkt anfordern.

Austausch eines Autorisierungscodes für Token

Die folgende Anforderung generiert nach der Authentifizierung mit einem Autorisierungscode erfolgreich ID-, Zugriffs- und Aktualisierungstoken. Die Anforderung übergibt das Client-Geheimnis im client_secret_basic Format im Header. Authorization

POST https://mydomain.auth.us-east-1.amazoncognito.com/oauth2/token&
Content-Type='application/x-www-form-urlencoded'&
Authorization=Basic ZGpjOTh1M2ppZWRtaTI4M2V1OTI4OmFiY2RlZjAxMjM0NTY3ODkw

grant_type=authorization_code&
client_id=1example23456789&
code=AUTHORIZATION_CODE&
redirect_uri=com.myclientapp://myclient/redirect

Die Antwort gibt dem Benutzer neue ID-, Zugriffs- und Aktualisierungstoken mit zusätzlichen Metadaten aus.

HTTP/1.1 200 OK
Content-Type: application/json

{
    "access_token": "eyJra1example",
    "id_token": "eyJra2example",
    "refresh_token": "eyJj3example",
    "token_type": "Bearer",
    "expires_in": 3600
}

Client-Anmeldeinformationen mit Basisautorisierung

Die folgende Anfrage von einer M2M-Anwendung fordert die Gewährung von Client-Anmeldeinformationen an. Da für Client-Anmeldeinformationen ein Client-Geheimnis erforderlich ist, wird die Anforderung mit einem Authorization Header autorisiert, der aus der App-Client-ID und dem Schlüssel abgeleitet wird. Die Anfrage führt zu einem Zugriffstoken mit den beiden angeforderten Bereichen. Die Anfrage enthält auch Client-Metadaten, die IP-address Informationen bereitstellen, und ein Token, das an den Benutzer ausgegeben wird, für den diese Gewährung erfolgt. Amazon Cognito übergibt die Client-Metadaten an den Lambda-Trigger vor der Token-Generierung.

POST https://mydomain.auth.us-east-1.amazoncognito.com/oauth2/token >
Content-Type='application/x-www-form-urlencoded'&
Authorization=Basic ZGpjOTh1M2ppZWRtaTI4M2V1OTI4OmFiY2RlZjAxMjM0NTY3ODkw

grant_type=client_credentials&
client_id=1example23456789&
scope=resourceServerIdentifier1%2Fscope1%20resourceServerIdentifier2%2Fscope2&
&aws_client_metadata=%7B%22onBehalfOfToken%22%3A%22eyJra789ghiEXAMPLE%22,%20%22ClientIpAddress%22%3A%22192.0.2.252%22%7D

Amazon Cognito übergibt das folgende Eingabeereignis an den Lambda-Trigger vor der Token-Generierung.

{
    version: '3',
    triggerSource: 'TokenGeneration_ClientCredentials',
    region: 'us-east-1',
    userPoolId: 'us-east-1_EXAMPLE',
    userName: 'ClientCredentials',
    callerContext: {
        awsSdkVersion: 'aws-sdk-unknown-unknown',
        clientId: '1example23456789'
    },
    request: {
        userAttributes: {},
        groupConfiguration: null,
        scopes: [
           'resourceServerIdentifier1/scope1',
           'resourceServerIdentifier2/scope2'
        ],
        clientMetadata: {
            'onBehalfOfToken': 'eyJra789ghiEXAMPLE',
            'ClientIpAddress': '192.0.2.252'
        }
    },
    response: { claimsAndScopeOverrideDetails: null }
}

Die Antwort gibt ein Zugriffstoken zurück. Die Erteilung von Client-Anmeldeinformationen erfolgt für die Autorisierung von Maschine zu Maschine (M2M) und gibt nur Zugriffstoken zurück.

HTTP/1.1 200 OK
Content-Type: application/json
{
    "access_token": "eyJra1example",
    "token_type": "Bearer",
    "expires_in": 3600
}
                    

Client-Anmeldeinformationen mit POST-Text-Autorisierung

Die folgende Anforderung zur Gewährung von Client-Anmeldeinformationen enthält den client_secret Parameter im Anforderungstext und keinen Header. Authorization Diese Anfrage verwendet die client_secret_post Autorisierungssyntax. Die Anfrage führt zu einem Zugriffstoken mit dem angeforderten Gültigkeitsbereich. Die Anfrage enthält auch Client-Metadaten, die IP-address Informationen bereitstellen, und ein Token, das an den Benutzer ausgegeben wird, für den diese Gewährung erfolgt. Amazon Cognito übergibt die Client-Metadaten an den Lambda-Trigger vor der Token-Generierung.

POST /oauth2/token HTTP/1.1
Content-Type: application/x-www-form-urlencoded
X-Amz-Target: AWSCognitoIdentityProviderService.Client credentials request
User-Agent: USER_AGENT
Accept: /
Accept-Encoding: gzip, deflate, br
Content-Length: 177
Referer: http://auth.example.com/oauth2/token
Host: auth.example.com
Connection: keep-alive

grant_type=client_credentials&
client_id=1example23456789&
scope=my_resource_server_identifier%2Fmy_custom_scope&
client_secret=9example87654321&
aws_client_metadata=%7B%22onBehalfOfToken%22%3A%22eyJra789ghiEXAMPLE%22,%20%22ClientIpAddress%22%3A%22192.0.2.252%22%7D

Amazon Cognito übergibt das folgende Eingabeereignis an den Lambda-Trigger vor der Token-Generierung.

{
    version: '3',
    triggerSource: 'TokenGeneration_ClientCredentials',
    region: 'us-east-1',
    userPoolId: 'us-east-1_EXAMPLE',
    userName: 'ClientCredentials',
    callerContext: {
        awsSdkVersion: 'aws-sdk-unknown-unknown',
        clientId: '1example23456789'
    },
    request: {
        userAttributes: {},
        groupConfiguration: null,
        scopes: [
           'resourceServerIdentifier1/my_custom_scope'
        ],
        clientMetadata: {
            'onBehalfOfToken': 'eyJra789ghiEXAMPLE',
            'ClientIpAddress': '192.0.2.252'
        }
    },
    response: { claimsAndScopeOverrideDetails: null }
}

Die Antwort gibt ein Zugriffstoken zurück. Die Erteilung von Client-Anmeldeinformationen erfolgt für die Autorisierung von Maschine zu Maschine (M2M) und gibt nur Zugriffstoken zurück.

HTTP/1.1 200 OK
Content-Type: application/json;charset=UTF-8
Date: Tue, 05 Dec 2023 16:11:11 GMT
x-amz-cognito-request-id: 829f4fe2-a1ee-476e-b834-5cd85c03373b

{
    "access_token": "eyJra12345EXAMPLE",
    "expires_in": 3600,
    "token_type": "Bearer"
}

Erteilung des Autorisierungscodes mit PKCE

Die folgende Beispielanforderung vervollständigt eine Autorisierungsanforderung, die code_challenge Parameter in einer Autorisierungscode-Erteilungsanforderung mit Verwendung von PKCE bei der Gewährung von Autorisierungscodes PKCE enthieltcode_challenge_method.

POST https://mydomain.auth.us-east-1.amazoncognito.com/oauth2/token
Content-Type='application/x-www-form-urlencoded'&
Authorization=Basic ZGpjOTh1M2ppZWRtaTI4M2V1OTI4OmFiY2RlZjAxMjM0NTY3ODkw

grant_type=authorization_code&
client_id=1example23456789&
code=AUTHORIZATION_CODE&
code_verifier=CODE_VERIFIER&
redirect_uri=com.myclientapp://myclient/redirect

Die Antwort gibt ID-, Zugriffs- und Aktualisierungstoken aus der erfolgreichen PKCE-Überprüfung durch die Anwendung zurück.

HTTP/1.1 200 OK
Content-Type: application/json

{
    "access_token": "eyJra1example",
    "id_token": "eyJra2example",
    "refresh_token": "eyJj3example",
    "token_type": "Bearer",
    "expires_in": 3600
}

Token-Aktualisierung ohne Aktualisierungstoken-Rotation

Die folgende Beispielanfrage stellt ein Aktualisierungstoken für einen App-Client bereit, bei dem die Aktualisierungstoken-Rotation inaktiv ist. Da der App-Client über ein geheimes Client-Geheimnis verfügt, stellt die Anforderung einen Authorization Header bereit.

POST https://mydomain.auth.us-east-1.amazoncognito.com/oauth2/token >
Content-Type='application/x-www-form-urlencoded'&
Authorization=Basic ZGpjOTh1M2ppZWRtaTI4M2V1OTI4OmFiY2RlZjAxMjM0NTY3ODkw

grant_type=refresh_token&
client_id=1example23456789&
refresh_token=eyJj3example

Die Antwort gibt eine neue ID und Zugriffstoken zurück.

HTTP/1.1 200 OK
Content-Type: application/json

{
    "access_token": "eyJra1example",
    "id_token": "eyJra2example",
    "token_type": "Bearer",
    "expires_in": 3600
}

Token-Aktualisierung mit Token-Rotation

Die folgende Beispielanfrage stellt ein Aktualisierungstoken für einen App-Client bereit, in dem die Aktualisierungstoken-Rotation aktiv ist. Da der App-Client über ein geheimes Client-Geheimnis verfügt, stellt die Anforderung einen Authorization Header bereit.

POST https://mydomain.auth.us-east-1.amazoncognito.com/oauth2/token >
Content-Type='application/x-www-form-urlencoded'&
Authorization=Basic ZGpjOTh1M2ppZWRtaTI4M2V1OTI4OmFiY2RlZjAxMjM0NTY3ODkw

grant_type=refresh_token&
client_id=1example23456789&
refresh_token=eyJj3example

Die Antwort gibt neue ID-, Zugriffs- und Aktualisierungstoken zurück.

HTTP/1.1 200 OK
Content-Type: application/json

{
    "access_token": "eyJra1example",
    "id_token": "eyJra2example",
    "refresh_token": "eyJj4example",
    "token_type": "Bearer",
    "expires_in": 3600
}

Beispiele für negative Antworten

Bei falsch formatierten Anfragen werden Fehler am Token-Endpunkt generiert. Im Folgenden finden Sie eine allgemeine Übersicht über den Antworttext, wenn Token-Anfragen einen Fehler generieren.

HTTP/1.1 400 Bad Request
Content-Type: application/json;charset=UTF-8

{
"error":"invalid_request|invalid_client|invalid_grant|unauthorized_client|unsupported_grant_type"
}