Descripción del token de acceso

El token de acceso de grupo de usuarios contiene notificaciones acerca del usuario autenticado, una lista de los grupos de usuarios y una lista de ámbitos. La finalidad del token de acceso es autorizar operaciones de la API. Su grupo de usuarios acepta tokens de acceso para autorizar las operaciones de autoservicio de los usuarios. Por ejemplo, puede utilizar el token de acceso para conceder acceso a sus usuarios a fin de agregar, cambiar o eliminar atributos de usuarios.

Con los ámbitos de OAuth 2.0 en un token de acceso, que proceden de los ámbitos personalizados que añade a su grupo de usuarios, puede autorizar a su usuario a recuperar información de una API. Por ejemplo, Amazon API Gateway admite la autorización con los tokens de acceso de Amazon Cognito. Puede rellenar un autorizador de la API de REST con información del grupo de usuarios o utilizar Amazon Cognito como autorizador de JSON Web Token (JWT) para una API de HTTP. Para generar un token de acceso con ámbitos personalizados, debe solicitarlo a través de los puntos de conexión públicos de su grupo de usuarios.

El token de acceso de su usuario es un permiso para solicitar más información sobre los atributos de su usuario a El punto de conexión userInfo. El token de acceso de su usuario también es un permiso para leer y escribir atributos de usuario. El nivel de acceso a los atributos que otorga su token de acceso depende de los permisos que asigne al cliente de su aplicación y de los ámbitos que conceda en el token.

El token de acceso es un token web JSON (JWT). El encabezado del token de acceso tiene la misma estructura que el token de ID. Amazon Cognito firma los tokens de acceso con una clave diferente a la clave que firma los tokens de ID. El valor de una reclamación de ID de clave de acceso (kid) no coincide con el valor de la reclamación kid de un token de ID de la misma sesión de usuario. En el código de su aplicación, verifique los tokens de ID y los tokens de acceso de forma independiente. No confíe en las reclamaciones de un token de acceso hasta que verifique la firma. Para obtener más información, consulte Verificación de un JSON Web Token. Puede utilizar cualquier valor de entre 5 minutos y 1 día para configurar el vencimiento del token de acceso. Puede configurar este valor por cliente de aplicación.

Encabezado del token de acceso

El encabezado contiene dos bloques de información: el ID de clave (kid) y el algoritmo (alg).

{
"kid" : "1234example="
"alg" : "RS256",
}

Carga útil predeterminada del token de acceso

Esta es una carga de muestra de un token de acceso. Para obtener más información, consulte las notificaciones JWT. Puede añadir notificaciones de diseño propio con un Desencadenador de Lambda anterior a la generación del token.

<header>.
{
   "sub":"aaaaaaaa-bbbb-cccc-dddd-eeeeeeeeeeee",
   "device_key": "aaaaaaaa-bbbb-cccc-dddd-eeeeeeeeeeee",
   "cognito:groups":[
      "testgroup"
   ],
   "iss":"https://cognito-idp.us-west-2.amazonaws.com/us-west-2_example",
   "version":2,
   "client_id":"xxxxxxxxxxxxexample",
   "origin_jti":"aaaaaaaa-bbbb-cccc-dddd-eeeeeeeeeeee",
   "event_id":"aaaaaaaa-bbbb-cccc-dddd-eeeeeeeeeeee",
   "token_use":"access",
   "scope":"phone openid profile resourceserver.1/appclient2 email",
   "auth_time":1676313851,
   "exp":1676317451,
   "iat":1676313851,
   "jti":"aaaaaaaa-bbbb-cccc-dddd-eeeeeeeeeeee",
   "username":"my-test-user"
}
.<token signature>

Firma del token de acceso

La firma del token de acceso se calcula en función del encabezado y la carga del token JWT. Cuando se utiliza fuera de una aplicación en las API web, se debe verificar siempre esta firma para poder aceptar el token. Para obtener más información, consulte Verificación de un JSON Web Token.