Introducción a los grupos de identidades de Amazon Cognito

Para crear un grupo de identidades nuevo en la consola

1. Inicie sesión en la consola de Amazon Cognito y seleccione Grupos de identidades.

2. Elija Crear grupo de identidades.

3. En Configurar confianza de grupo de identidades, elija configurar el grupo de identidades para el acceso autenticado, el acceso de invitado o ambos.

   1. Si elige Acceso autenticado, seleccione uno o más tipos de identidades que desee establecer como origen de identidades autenticadas en el grupo de identidades. Si configura un Proveedor de desarrolladores personalizado, no podrá modificarlo ni eliminarlo después de crear el grupo de identidades.

4. En Configurar permisos, elija un rol de IAM predeterminado para los usuarios autenticados o invitados del grupo de identidades.

   1. Elija Crear un nuevo rol de IAM si desea que Amazon Cognito cree uno nuevo para usted con permisos básicos y una relación de confianza con el grupo de identidades. Ingrese un Nombre de rol de IAM para identificar el nuevo rol, por ejemplo myidentitypool_authenticatedrole. Seleccione Ver documento de política para revisar los permisos que Amazon Cognito asignará al nuevo rol de IAM.

   2. Puede elegir la opción de Usar un rol de IAM existente si ya tiene un rol en la Cuenta de AWS que desea usar. Debe configurar la política de confianza del rol de IAM para incluir cognito-identity.amazonaws.com. Configure la política de confianza del rol para que solo permita que Amazon Cognito asuma el rol cuando presente pruebas de que la solicitud proviene de un usuario autenticado del grupo de identidades específico. Para obtener más información, consulte Confianza y permisos de rol.

5. En Conectar proveedores de identidades, ingrese los detalles de los proveedores de identidades (IdP) que eligió en Configurar la confianza del grupo de identidades. Es posible que se le pida que proporcione información del cliente de la aplicación OAuth, que elija un grupo de usuarios de Amazon Cognito, que elija un IdP de IAM o que ingrese un identificador personalizado para un proveedor de desarrolladores.

   1. Elija la Configuración del rol para cada IdP. Puede asignar a los usuarios de ese IdP el Rol predeterminado que configuró al configurar el Rol autenticado o puede Elegir el rol con reglas. Con un IdP del grupo de usuarios de Amazon Cognito, también puede Elegir un rol con preferred_role en los tokens. Para obtener más información acerca de la reclamación de cognito:preferred_role, consulte Asignación de valores de prioridad a los grupos.

      1. Si eligió Elegir rol con reglas, ingrese la Reclamación de origen de la autenticación del usuario, el Operador con el que desea comparar la afirmación, el Valor que hará que coincida con esta elección de rol y el Rol que desea asignar cuando la Asignación del rol coincida. Seleccione Agregar otra para crear una regla adicional en función de una condición diferente.

      2. Elija una Resolución de rol. Cuando las reclamaciones del usuario no coinciden con las reglas, puede denegar las credenciales o emitir credenciales para el Rol autenticado.

   2. Configure Atributos para el control de acceso para cada IdP. Los atributos del control de acceso asignan las reclamaciones de los usuarios a las Etiquetas de las entidades principales que Amazon Cognito aplica a la sesión temporal. Puede crear políticas de IAM para filtrar el acceso de los usuarios en función de las etiquetas que aplique a la sesión.

      1. Para no aplicar ninguna etiqueta de entidad principal, elija Inactivo.

      2. Para aplicar etiquetas de entidades principales en función de las reclamaciones sub y aud, elija Usar mapeos predeterminados.

      3. Para crear su propio esquema personalizado de atributos para las etiquetas de la entidades principales, elija Usar mapeos personalizados. A continuación, ingrese una Clave de etiqueta que desee obtener de cada Reclamación que desee representar en una etiqueta.

6. En Configurar propiedades, ingrese un Nombre en Nombre de grupo de identidades.

7. En Autenticación básica (clásica), elija si desea Activar el flujo básico. Con el flujo básico activo, puede omitir las selecciones de roles que realizó para los IdP y llamar directamente a AssumeRoleWithWebIdentity. Para obtener más información, consulte Flujo de autenticación de grupos de identidades.

8. En Etiquetas, elija Agregar etiqueta si quiere aplicar etiquetas al grupo de identidades.

9. En Revisar y crear, confirme las selecciones que realizó para el nuevo grupo de identidades. Seleccione Editar para volver al asistente y cambiar cualquier configuración. Cuando haya acabado, seleccione Crear grupo de identidades.