Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Bekerja dengan perangkat pengguna di kumpulan pengguna Anda

Saat Anda masuk pengguna kumpulan pengguna lokal dengan kumpulan pengguna Amazon CognitoAPI, Anda dapat mengaitkan log aktivitas pengguna Anda dari fitur keamanan tingkat lanjut dengan masing-masing perangkat mereka dan, secara opsional, memungkinkan pengguna melewati autentikasi multi-faktor (MFA) jika mereka menggunakan perangkat tepercaya. Amazon Cognito menyertakan kunci perangkat sebagai respons terhadap proses masuk apa pun yang belum menyertakan informasi perangkat. Kunci perangkat ada dalam formatRegion_UUID. Dengan kunci perangkat, library Secure Remote Password (SRP), dan kumpulan pengguna yang mengizinkan autentikasi perangkat, Anda dapat meminta pengguna di aplikasi untuk mempercayai perangkat saat ini dan tidak lagi meminta MFA kode saat login.

Menyiapkan perangkat yang diingat

Dengan kumpulan pengguna Amazon Cognito, Anda dapat mengaitkan setiap perangkat pengguna dengan pengenal perangkat unik: kunci perangkat. Saat Anda menampilkan kunci perangkat dan melakukan otentikasi perangkat saat masuk, Anda dapat memanfaatkan dua fitur.

Saat pengguna masuk dengan perangkat yang diingat, Anda harus melakukan autentikasi perangkat tambahan selama alur autentikasi mereka. Untuk informasi selengkapnya, lihat Masuk dengan perangkat.

Konfigurasikan kumpulan pengguna Anda untuk mengingat perangkat di tab Pengalaman masuk di kumpulan pengguna Anda, di bawah Pelacakan perangkat. Saat menyiapkan fungsionalitas perangkat yang diingat melalui konsol Amazon Cognito, Anda memiliki tiga pilihan:Selalu, Pilihan Pengguna, dan Tidak.

Saat Anda memilih Selalu ingat atau Keikutsertaan Pengguna, Amazon Cognito menghasilkan kunci dan rahasia pengenal perangkat setiap kali pengguna masuk dari perangkat yang tidak dikenal. Kunci perangkat adalah pengenal awal yang dikirimkan aplikasi ke kumpulan pengguna saat pengguna melakukan autentikasi perangkat.

Dengan setiap perangkat pengguna yang dikonfirmasi, baik diingat secara otomatis atau ikut serta, Anda dapat menggunakan kunci dan rahasia pengenal perangkat untuk mengautentikasi perangkat pada setiap pengguna yang masuk.

Anda juga dapat mengonfigurasi pengaturan perangkat yang diingat untuk kumpulan pengguna Anda dalam permintaan CreateUserPoolatau UpdateUserPoolAPIpermintaan. Untuk informasi lebih lanjut, lihat DeviceConfigurationproperti.

Kumpulan pengguna Amazon Cognito API memiliki operasi tambahan untuk perangkat yang diingat.

APIoperasi dengan nama yang dimulai untuk Admin digunakan dalam aplikasi sisi server dan harus diotorisasi dengan kredensialnya. IAM Untuk informasi selengkapnya, lihat Menggunakan kumpulan pengguna API dan server otorisasi.

Mendapatkan kunci perangkat

Kapan pun pengguna Anda masuk dengan kumpulan pengguna API dan tidak menyertakan kunci perangkat dalam parameter autentikasiDEVICE_KEY, Amazon Cognito mengembalikan kunci perangkat baru dalam respons. Di aplikasi sisi klien publik Anda, letakkan kunci perangkat di penyimpanan aplikasi sehingga Anda dapat memasukkannya ke dalam permintaan future. Di aplikasi sisi server rahasia Anda, atur cookie browser atau token sisi klien lainnya dengan kunci perangkat pengguna Anda.

Sebelum pengguna Anda dapat masuk dengan perangkat tepercaya mereka, aplikasi Anda harus mengonfirmasi kunci perangkat dan memberikan informasi tambahan. Buat ConfirmDevicepermintaan ke Amazon Cognito yang mengonfirmasi perangkat pengguna Anda dengan kunci perangkat, nama yang ramah, pemverifikasi kata sandi, dan garam. Jika Anda mengonfigurasi kumpulan pengguna untuk autentikasi perangkat opt-in, Amazon Cognito merespons permintaan ConfirmDevice Anda dengan prompt bahwa pengguna harus memilih apakah akan mengingat perangkat saat ini. Tanggapi dengan pilihan pengguna Anda dalam UpdateDeviceStatuspermintaan.

Saat mengonfirmasi perangkat pengguna tetapi tidak menyetelnya seperti yang diingat, Amazon Cognito menyimpan asosiasi tersebut tetapi dilanjutkan dengan login non-perangkat saat Anda memberikan kunci perangkat. Perangkat dapat menghasilkan log yang berguna untuk keamanan pengguna dan pemecahan masalah. Perangkat yang dikonfirmasi tetapi tidak diingat tidak memanfaatkan fitur masuk, tetapi memanfaatkan fitur log pemantauan keamanan. Saat Anda mengaktifkan fitur keamanan lanjutan untuk klien aplikasi dan menyandikan jejak perangkat ke dalam permintaan Anda, Amazon Cognito mengaitkan peristiwa pengguna dengan perangkat yang dikonfirmasi.

Masuk dengan perangkat

Setelah Anda mengonfigurasi perangkat pengguna agar diingat, Amazon Cognito tidak lagi mengharuskan mereka untuk mengirimkan MFA kode saat mereka masuk dengan kunci perangkat yang sama. Otentikasi perangkat hanya menggantikan tantangan MFA -authentication dengan tantangan otentikasi perangkat. Anda tidak dapat memasukkan pengguna hanya dengan autentikasi perangkat. Pengguna Anda harus terlebih dahulu menyelesaikan otentikasi dengan kata sandi mereka atau tantangan khusus. Berikut ini adalah proses otentikasi untuk pengguna pada perangkat yang diingat.

Untuk melakukan autentikasi perangkat dalam alur yang menggunakan pemicu Lambda tantangan autentikasi kustom, teruskan parameter dalam DEVICE_KEY permintaan Anda. InitiateAuthAPI Setelah pengguna Anda berhasil menyelesaikan semua tantangan dan CUSTOM_CHALLENGE tantangan mengembalikan issueTokens nilaitrue, Amazon Cognito mengembalikan satu DEVICE_SRP_AUTH tantangan terakhir.

Pseudocode berikut menunjukkan cara menghitung nilai untuk respons tantangan AndaDEVICE_PASSWORD_VERIFIER.

PASSWORD_CLAIM_SECRET_BLOCK = SECRET_BLOCK
TIMESTAMP = Tue Sep 25 00:09:40 UTC 2018
PASSWORD_CLAIM_SIGNATURE = Base64(SHA256_HMAC(K_USER, DeviceGroupKey + DeviceKey + PASSWORD_CLAIM_SECRET_BLOCK + TIMESTAMP))
K_USER = SHA256_HASH(S_USER)
S_USER = (SRP_B - k * gx)(a + ux)
x = SHA256_HASH(salt + FULL_PASSWORD)
u = SHA256_HASH(SRP_A + SRP_B)
k = SHA256_HASH(N + g)

Melihat, memperbarui, dan melupakan perangkat

Anda dapat menerapkan fitur berikut di aplikasi Anda dengan Amazon API Cognito.

Token akses yang mengotorisasi API permintaan dalam deskripsi berikut harus menyertakan ruang lingkup. aws.cognito.signin.user.admin Amazon Cognito menambahkan klaim untuk cakupan ini ke semua token akses yang Anda hasilkan dengan kumpulan pengguna Amazon Cognito. API Pihak ketiga IdPs harus mengelola perangkat secara terpisah dan MFA untuk penggunanya yang mengautentikasi ke Amazon Cognito. Di UI yang dihosting, Anda dapat meminta aws.cognito.signin.user.admin ruang lingkup, tetapi UI yang dihosting secara otomatis menambahkan informasi perangkat ke log pengguna keamanan tingkat lanjut, dan tidak menawarkan untuk mengingat perangkat.

Menampilkan informasi tentang perangkat

Anda dapat menanyakan informasi tentang perangkat pengguna untuk menentukan apakah masih digunakan saat ini. Misalnya, Anda mungkin ingin menonaktifkan perangkat yang diingat setelah perangkat tersebut tidak masuk selama 90 hari.

Menampilkan daftar semua perangkat pengguna Anda

Anda dapat menampilkan daftar semua perangkat pengguna Anda dan propertinya. Misalnya, Anda mungkin ingin memverifikasi bahwa perangkat saat ini cocok dengan perangkat yang diingat.

Lupakan perangkat

Anda dapat menghapus kunci perangkat pengguna. Anda mungkin ingin melakukan ini ketika Anda menentukan bahwa pengguna Anda tidak lagi menggunakan perangkat, atau ketika Anda mendeteksi aktivitas yang tidak biasa dan ingin meminta pengguna untuk menyelesaikannya MFA lagi. Untuk mendaftarkan perangkat lagi nanti, Anda harus membuat dan menyimpan kunci perangkat baru.