Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Greifen Sie über einen Schnittstellenendpunkt auf Amazon Cognito zu (AWS PrivateLink)

Sie können AWS PrivateLink es verwenden, um eine private Verbindung zwischen Ihrer VPC und Amazon Cognito herzustellen. Sie können auf Amazon Cognito zugreifen, als ob es in Ihrer VPC wäre, ohne ein Internet-Gateway, ein NAT-Gerät, eine VPN-Verbindung oder eine Verbindung zu verwenden. Direct Connect Instances in Ihrer VPC benötigen keine öffentlichen IP-Adressen, um auf Amazon Cognito zuzugreifen.

Sie stellen diese private Verbindung her, indem Sie einen Schnittstellen-Endpunkt erstellen, der von AWS PrivateLink unterstützt wird. Wir erstellen eine Endpunkt-Netzwerkschnittstelle in jedem Subnetz, das Sie für den Schnittstellen-Endpunkt aktivieren. Dabei handelt es sich um vom Anforderer verwaltete Netzwerkschnittstellen, die als Einstiegspunkt für den für Amazon Cognito bestimmten Datenverkehr dienen.

Weitere Informationen finden Sie unter Zugriff auf AWS-Services über AWS PrivateLink im AWS PrivateLink -Leitfaden.

Die Authentifizierung läuft ab für AWS PrivateLink Integration

In der folgenden Tabelle werden die Authentifizierungsabläufe beschrieben, die Clients in VPCs zur Verfügung stehen, sowie die IAM-Richtlinien, die Sie zu ihrer Steuerung anwenden können. Bei den Richtlinien, die Sie in Anfragen an Benutzerpools auswerten können, handelt es sich um Ressourcenkontrollrichtlinien (RCPs), VPC-Endpunktrichtlinien und identitätsbasierte Richtlinien.

¹ VPC-Endpunkte akzeptieren keine Anfragen für Benutzerpool-Domains. Wenn der Client eine Route zum Internet hat, wird NAT angewendet, wodurch der Ursprung veröffentlicht wird.

² Das Vorhandensein einer Benutzerpool-Domäne verhindert die Fertigstellung von Benutzerpool-Anfragen, die einen VPC-Endpunkt übertragen. Jeder Kunde kann öffentliche Transportwege nur zur Benutzerpool-Domain und zu den API-Dienstendpunkten nutzen, wodurch der VPC-Endpunkt für den Benutzerpool unbrauchbar wird. Benutzerpools mit zugewiesenen Domänen sind nicht kompatibel mit. AWS PrivateLink

^{3 Dem} Benutzerpool darf keine Domäne zugewiesen sein.

Betriebsmodi für AWS PrivateLink

Die folgenden Beispielimplementierungsmodelle werden mit AWS PrivateLink und Amazon Cognito unterstützt.

Überlegungen zu Amazon Cognito

Bevor Sie einen Schnittstellenendpunkt für Amazon Cognito einrichten, lesen Sie die Überlegungen im AWS PrivateLink Handbuch. Amazon Cognito unterstützt Aufrufe aller Amazon Cognito-API-Aktionen über den Schnittstellenendpunkt. Weitere Informationen zu diesen Vorgängen finden Sie in der API-Referenz für Amazon Cognito-Benutzerpools und in der Amazon Cognito Federated Identities API-Referenz.

Benutzerpools und AWS PrivateLink

Sie können über den Schnittstellenendpunkt Anfragen an alle API-Operationen von Benutzerpools stellen, jedoch nicht an Vorgänge, die Ihre Anwendung vom OAuth 2.0-Autorisierungsserver des Benutzerpools anfordert, wie z. B. die Vergabe von Client-Anmeldeinformationen und verwaltete Anmeldung.

Die cognito-idp Benutzerpool-API verfügt über nicht authentifizierte, authentifizierte und mit Token autorisierte API-Operationen. Sie können Berechtigungen für authentifizierte Vorgänge in VPC-Endpunkt- und Ressourcensteuerungsrichtlinien gewähren. Im Gegensatz zu identitätsbasierten Richtlinien können Sie auch Berechtigungen für nicht authentifizierte und mit Token autorisierte Vorgänge gewähren. Die Richtlinientypen VPC-Endpoint und Resource Control sind in der Lage, Anfragen für ansonsten öffentliche Operationen auszuwerten und abzulehnen oder zuzulassen.

Anfragen an Domain-Endpunkte sind ebenfalls öffentlich, aber Sie können sie nicht in Richtlinien auswerten. VPC Private DNS leitet Anfragen für Benutzerpool-Domains nicht an Ihren VPC-Endpunkt weiter. Sie können Anfragen für Domaindienste nur über öffentliche Internetpfade stellen. Weitere Informationen finden Sie unter Auswirkungen von Richtlinien auf den Betrieb von Benutzerpools.

Unterstützte Vorgänge

Systeme in einer VPC können Anfragen an API-Aktionen im Benutzerpool senden, nicht jedoch an Domänen-Endpunkte des Benutzerpools. OpenID Connect (OIDC) und OAuth 2.0-Workflows, die Domänenendpunkte verwenden, z. B. Machine-to-Machine (M2M), Verbundanmeldung und Autorisierungscode-Vergabe, sind über VPC-Endpunkte nicht zugänglich. Der Umleitungs- und Autorisierungsendpunkt VPC-Endpunktrichtlinien haben keine Auswirkung auf diese HTTP-Workflows und können sie nicht verarbeiten. Anfragen an Domain-Endpunkte innerhalb einer VPC schlagen immer am Schnittstellenendpunkt fehl, sind aber weiterhin über öffentliches DNS und Routing verfügbar, wenn Sie VPC-Endpunkte für Ihre Benutzerpools einrichten.

Um die Zuweisung von Domänen durch Systeme in einer VPC zu verhindern, blockiert CreateUserPoolDomain Amazon Cognito Anfragen am Schnittstellenendpunkt. Dadurch wird verhindert, dass Domänen von Systemen, die sich in einer VPC befinden, zu Ihren Benutzerpools hinzugefügt werden. Um das Hinzufügen einer Domäne auf allen Systemen zu verhindern, wenden Sie eine Resource Control Policy (RCP) wie im folgenden Beispiel auf Ihr System an. AWS-Konto Diese Richtlinie blockiert die CreateUserPoolDomain Aktion gegen den angegebenen Benutzerpool.

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Principal": "*",
            "Effect": "Deny",
            "Action": [
                "cognito-idp:CreateUserPoolDomain"
            ],
            "Resource": "arn:aws:cognito-idp:us-east-1:123456789012:userpool/us-east-1_EXAMPLE"
        }
    ]
}

Ihr Benutzerpool hat möglicherweise eine Domäne, und in allen Fällen ist diese Domäne über nicht verfügbar AWS PrivateLink. Alle SDK-based Benutzerpool-API-Anfragen an cognito-idp Serviceendpunkte akzeptieren Anfragen über AWS PrivateLink, mit Ausnahme vonCreateUserPoolDomain. Benutzerpool-API-Dienstendpunkte und Domain-Endpunkte bleiben über öffentliche Internetpfade immer zugänglich. Implementieren Sie Web-ACLs, um den Zugriff aus öffentlichen Quellen zu ermöglichen. AWS WAF

Auswirkungen von Richtlinien auf den Betrieb von Benutzerpools

Alle API-Operationen für Benutzerpools, auch solche, die normalerweise öffentlich und nicht authentifiziert sind, können in VPC-Endpunktrichtlinien und Ressourcenkontrollrichtlinien (RCPs) gesteuert werden. Sie können den Zugriff auf Benutzerpools auch in identitätsbasierten Richtlinien mit VPC-Bedingungsschlüsseln einschränken. Nur Anfragen, die Authentifizierungsinformationen im SigV4-Format enthalten, können in identitätsbasierten Richtlinien gesteuert werden. Verwaltete Anmeldung und klassische gehostete Benutzeroberflächen sind eine separate Kategorie und kommen nicht für die VPC-Übertragung oder die Anwendung von Richtlinien auf ihre Aktionen in Frage.

Nicht authentifizierte Operationen

Amazon Cognito-Operationen für clientseitige Anwendungen werden nicht mit SigV4 authentifiziert. Beispieloperationen finden Sie in der Beispielrichtlinie unter. Erstellen einer Endpunktrichtlinie für Ihren Schnittstellen-Endpunkt Weitere Beispiele für nicht authentifizierte Operationen sind GetUser und. AssociateSoftwareToken Wenn Sie diese Vorgänge zu identitätsbasierten Richtlinien hinzufügen, haben sie keine Auswirkung. Sie können den Zugriff auf diese Aktionen jedoch in VPC-Endpunktrichtlinien und RCPs zulassen oder einschränken. Steuerung des Zugriffs mit Richtlinien zur Ressourcenkontrolle

Nicht authentifizierte Vorgänge sind keinem IAM-Prinzipal zugeordnet. Ihre VPC-Endpunktrichtlinie oder Ihr RCP muss alle Principals für diese Aktionen zulassen.

Authentifizierte Operationen

API-Operationen für die Verwaltung des Benutzerpools und die serverseitige Authentifizierung werden mit SigV4 authentifiziert. Bei authentifizierten Vorgängen können Sie Prinzipale mit Endpunktrichtlinien einschränken, die Sie auf den VPC-Endpunkt anwenden, mit Richtlinien zur Ressourcenkontrolle in Ihrer Organisation und mit identitätsbasierten Richtlinien, die Sie auf Principals anwenden. Identity-based und Richtlinien zur Ressourcenkontrolle verwenden netzwerkbasierte Bedingungsschlüssel wie und. VPC-aware https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-network-properties aws:SourceVpc aws:SourceVpce

Weitere Hinweise zu serverseitigen, clientseitigen und administrativen Klassen von API-Vorgängen für Benutzerpools finden Sie unter. Autorisierungsmodelle für die API- und SDK-Authentifizierung

Identitätspools und AWS PrivateLink

Amazon Cognito-Identitätspools unterstützen alle API-Operationen über AWS PrivateLink.

Unterstützte Vorgänge

Alle API-Operationen für Identitätspools werden über den Schnittstellenendpunkt unterstützt. Identitätspools haben keine Domain-Endpunkte und unterliegen nicht denselben Einschränkungen. Identitätspools müssen jedoch aufgrund ihrer Integration mit netzwerkbasierten Zugriffskontrollen besondere Überlegungen anstellen. AWS STS

Einschränkungen im Netzwerkkontext mit AWS STS Integration

Identitätspools verwenden AWS STS AssumeRoleWithWebIdentity Operationen, um temporäre AWS Anmeldeinformationen bereitzustellen. Wenn Identitätspools AWS PrivateLink im AWS STS Rahmen des erweiterten Authentifizierungsablaufs aufrufen, aws:SourceVpce enthalten Netzwerkkontextschlüssel wie aws:SourceIp und Werte aus der Dienstinfrastruktur für Identitätspools, nicht aus dem Netzwerkkontext Ihrer Anwendung. aws:SourceVpc

Wenn Ihre IAM-Rollenvertrauensrichtlinien oder Resource Control-Richtlinien (RCPs) netzwerkbasierte Bedingungsschlüssel verwenden, um den Zugriff einzuschränken, werden Identitätspool-Operationen möglicherweise unerwartet verweigert. Um diese Einschränkung zu umgehen, können Sie eine der folgenden Methoden verwenden:

Prinzipal-Tags für die Dienstidentifikation

Kennzeichnen Sie die IAM-Rollen, die mit Identitätspools verwendet werden, und ändern Sie Ihre Richtlinien so, dass Operationen möglich sind, wenn der Principal das entsprechende Tag hat. Fügen Sie Ihrer Identitätspool-Rolle zunächst ein Tag hinzu:

aws iam tag-role \
    -\-role-name MyIdentityPoolRole \
    -\-tags Key=CognitoServiceCall,Value=true

Ändern Sie dann Ihre netzwerkbasierten Richtlinien so, dass markierte Hauptbenutzer zugelassen werden. Zum Beispiel in einem RCP:

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Effect": "Deny",
            "Principal": "*",
            "Action": "sts:AssumeRoleWithWebIdentity",
            "Resource": "*",
            "Condition": {
                "NotIpAddress": {
                    "aws:SourceIp": ["allowed-ip-ranges"]
                },
                "StringNotEqualsIfExists": {
                    "aws:ResourceTag/CognitoServiceCall": "true"
                }
            }
        }
    ]
}

Service-specific Kontextschlüssel

Identitätspools bieten dienstspezifische Kontextschlüssel für die Autorisierung auf Ressourcenebene in VPC-Endpunktrichtlinien und RCPs. Mit diesen Kontextschlüsseln können Sie eine detaillierte Zugriffskontrolle ermöglichen und in Richtlinien zwischen authentifizierten und nicht authentifizierten Benutzern unterscheiden.

Sie können diese Kontextschlüssel in VPC-Endpunktrichtlinien verwenden, um den Zugriff auf der Grundlage des Authentifizierungsstatus einzuschränken, wie im folgenden Beispiel veranschaulicht:

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": [
                "cognito-identity:GetId",
                "cognito-identity:GetCredentialsForIdentity"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "cognito-identity-unauth:IdentityPoolArn": "arn:aws:cognito-identity:us-east-1:123456789012:identitypool/us-east-1:12345678-ffff-ffff-ffff-123456"
                }
            }
        }
    ]
}

Steuerung des Zugriffs mit Richtlinien zur Ressourcenkontrolle

Amazon Cognito unterstützt die Steuerung des Zugriffs auf Ihre Ressourcen mithilfe von Richtlinien zur Ressourcenkontrolle (RCPs). Mit netzwerkbasierten Bedingungsschlüsseln können RCPs die Netzwerke und Aktionen definieren, die für den AWS PrivateLink Zugriff auf Ihre Benutzerpools und Identitätspools zulässig sind. Die Action Anweisungen in RCPs können den Zugriff sowohl auf authentifizierte als auch auf nicht authentifizierte Benutzerpool-API-Operationen steuern.

Die folgende Beispielrichtlinie verhindert beispielsweise den Zugriff auf alle Benutzerpools von einer bestimmten VPC aus.

{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Sid": "DenyCognitoAccessOutsideVPC",
      "Effect": "Deny",
      "Principal": "*",
      "Action": "cognito-idp:*",
      "Resource": "*",
      "Condition": {
        "StringNotEqualsIfExists": {
          "aws:SourceVpc": "vpc-02d6770f46ef1653b"
        }
      }
    }
  ]
}

Erstellen Sie einen Schnittstellen-Endpunkt für Amazon Cognito

Sie können einen Schnittstellenendpunkt für Amazon Cognito entweder mit der Amazon VPC-Konsole oder mit () erstellen. AWS Command Line Interface AWS CLI Weitere Informationen finden Sie unter Erstellen eines Schnittstellenendpunkts im AWS PrivateLink -Leitfaden.

Erstellen Sie einen Schnittstellenendpunkt für Amazon Cognito-Benutzerpools mit dem folgenden Servicenamen:

com.amazonaws.region.cognito-idp

Erstellen Sie einen Schnittstellenendpunkt für Amazon Cognito-Identitätspools mit dem folgenden Servicenamen:

com.amazonaws.region.cognito-identity

Wenn Sie privates DNS für den Schnittstellenendpunkt aktivieren, können Sie API-Anfragen an Amazon Cognito unter Verwendung des standardmäßigen regionalen DNS-Namens stellen. Zum Beispiel für Benutzerpools und cognito-idp.us-east-1.amazonaws.com cognito-identity.us-east-1.amazonaws.com für Identitätspools.

Erstellen einer Endpunktrichtlinie für Ihren Schnittstellen-Endpunkt

Eine Endpunktrichtlinie ist eine IAM-Ressource, die Sie an einen Schnittstellen-Endpunkt anfügen können. Die Standard-Endpunktrichtlinie ermöglicht den vollen Zugriff auf Amazon Cognito über den Schnittstellenendpunkt. Um den Zugriff zu kontrollieren, der Amazon Cognito von Ihrer VPC aus gewährt wird, fügen Sie dem Schnittstellenendpunkt eine benutzerdefinierte Endpunktrichtlinie hinzu.

Weitere Informationen finden Sie unter Steuern des Zugriffs auf Services mit Endpunktrichtlinien im AWS PrivateLink -Leitfaden.

Beispiel: VPC-Endpunktrichtlinie für Benutzerpoolaktionen

Das Folgende ist ein Beispiel für eine benutzerdefinierte Endpunktrichtlinie für Benutzerpools. Wenn Sie diese Richtlinie an Ihren Schnittstellenendpunkt anhängen, gewährt sie allen Prinzipalen auf allen Ressourcen Zugriff auf die aufgelisteten Benutzerpoolaktionen.

{
   "Version": "2012-10-17", 
   "Statement": [
      {
         "Principal": { 
            "AWS": "arn:aws:iam::123456789012:assumed-role/MyWebAppRole/MyWebAppSession"
         }, 
         "Effect": "Allow",
         "Action": [
            "cognito-idp:AdminInitiateAuth",
            "cognito-idp:AdminRespondToAuthChallenge",
            "cognito-idp:AdminSetUserPassword"
         ],
         "Resource":"arn:aws:cognito-idp:us-east-1:123456789012:userpool/us-east-1_EXAMPLE"
      },
      {
         "Effect": "Allow",
         "Action": [
            "cognito-idp:InitiateAuth",
            "cognito-idp:RespondToAuthChallenge",
            "cognito-idp:ForgotPassword",
            "cognito-idp:ConfirmForgotPassword"
         ],
         "Resource":"arn:aws:cognito-idp:us-east-1:123456789012:userpool/us-east-1_EXAMPLE"
      }
   ]
}

Beispiel: VPC-Endpunktrichtlinie für Identitätspool-Aktionen

Das Folgende ist ein Beispiel für eine benutzerdefinierte Endpunktrichtlinie für Identitätspools. Diese Richtlinie verwendet dienstspezifische Kontextschlüssel, um den Zugriff auf authentifizierte Benutzer aus einem bestimmten Identitätspool einzuschränken.

{
   "Version": "2012-10-17", 
   "Statement": [
      {
         "Effect": "Allow",
         "Principal": "*",
         "Action": [
            "cognito-identity:GetId",
            "cognito-identity:GetCredentialsForIdentity",
            "cognito-identity:GetOpenIdToken"
         ],
         "Resource": "*",
         "Condition": {
            "StringEquals": {
               "cognito-identity-auth:IdentityPoolArn": "arn:aws:cognito-identity:us-east-1:123456789012:identitypool/us-east-1:12345678-ffff-ffff-ffff-123456"
            }
         }
      }
   ]
}

Erstellen Sie eine identitätsbasierte Richtlinie für AWS PrivateLink Operationen

Identity-basedRichtlinien sind IAM-Ressourcen, die Sie an Prinzipale anhängen können. AWS Sie können den Zugriff auf Amazon Cognito über VPC-Endpunkte mit identitätsbasierten Richtlinien für den Betrieb steuern. IAM-authenticated Im Gegensatz zu Endpunktrichtlinien können Sie in identitätsbasierten Richtlinien keine Berechtigungen für nicht authentifizierte Vorgänge konfigurieren. Für authentifizierte oder administrative Vorgänge ist eine Autorisierung mit Signature Version 4 erforderlich. Für Benutzerpools umfassen authentifizierte Vorgänge serverseitige Authentifizierungsanfragen wie AdminInitiateAuth und administrative Anfragen wie. UpdateUserPool Bei Identitätspools umfassen authentifizierte Vorgänge administrative Anfragen wie und. DeleteIdentities DescribeIdentity

Beispiel: identitätsbasierte Richtlinie für die serverseitige Benutzerpool-Authentifizierung

Die folgende Beispielrichtlinie gewährt vom angegebenen Endpunkt aus Zugriff auf die aufgelisteten Benutzerpoolaktionen im angegebenen Benutzerpool. Wenden Sie diese Richtlinie auf die angenommene IAM-Rolle für Ihre Webanwendung an.

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "cognito-idp:AdminInitiateAuth",
                "cognito-idp:AdminRespondToAuthChallenge",
                "cognito-idp:AdminSetUserPassword"
            ],
            "Resource": "arn:aws:cognito-idp:us-east-1:123456789012:userpool/us-east-1_EXAMPLE",
            "Condition": {
                "StringEquals": {
                    "aws:SourceVpce": "vpce-1a2b3c4d"
                }
            }
        }
    ]
}

Beispiel: identitätsbasierte Richtlinie für Verwaltungsvorgänge im Identitätspool

Die folgende Beispielrichtlinie gewährt Zugriff auf administrative Aktionen des Identitätspools vom angegebenen VPC-Endpunkt aus. Wenden Sie diese Richtlinie auf den IAM-Prinzipal an, der die Identitätspool-Verwaltung durchführen muss.

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "cognito-identity:DeleteIdentities",
                "cognito-identity:DescribeIdentity"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:SourceVpce": "vpce-1a2b3c4d"
                },
                "StringEquals": {
                   "cognito-identity:IdentityPoolArn": "arn:aws:cognito-identity:us-east-1:123456789012:identitypool/us-east-1:12345678-ffff-ffff-ffff-123456"
                }
            }
        }
    ]
}