Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Mendaftar dan mengonfirmasi akun pengguna

Akun pengguna ditambahkan ke kolam pengguna Anda dengan salah satu cara berikut:

Pengguna yang mendaftar sendiri harus dikonfirmasi sebelum mereka dapat masuk. Pengguna yang diimpor dan dibuat sudah dikonfirmasi, tetapi mereka harus membuat kata sandi saat pertama kali masuk. Bagian berikut menjelaskan proses konfirmasi dan verifikasi email dan telepon.

Ikhtisar konfirmasi akun pengguna

Diagram berikut menggambarkan proses konfirmasi:

Akun pengguna dapat berada di salah satu status berikut:

Memverifikasi informasi kontak saat mendaftar

Ketika pengguna baru mendaftar di aplikasi Anda, Anda mungkin ingin mereka untuk menyediakan paling tidak satu metode kontak. Misalnya, dengan informasi kontak pengguna Anda, Anda mungkin:

Untuk kasus penggunaan seperti ini, Anda harus mengirim pesan ke tujuan yang terverifikasi. Jika tidak, Anda mungkin mengirim pesan Anda ke alamat email yang tidak valid atau nomor telepon yang tidak diketik dengan benar. Atau lebih buruk lagi, Anda mungkin mengirim informasi sensitif ke aktor jahat yang menyamar sebagai pengguna Anda.

Untuk membantu memastikan bahwa Anda hanya mengirim pesan ke individu yang tepat, konfigurasikan kolam pengguna Amazon Cognito Anda sehingga pengguna harus menyediakan hal berikut saat mereka mendaftar:

Dengan memberikan kode verifikasi, pengguna membuktikan bahwa mereka memiliki akses ke kotak surat atau telepon yang menerima kode tersebut. Setelah pengguna memberikan kode, Amazon Cognito memperbarui informasi tentang pengguna di kolam pengguna Anda dengan:

Untuk melihat informasi ini, Anda dapat menggunakan konsol Amazon Cognito. Atau, Anda dapat menggunakan AdminGetUser API operasi, admin-get-user perintah dengan AWS CLI, atau tindakan yang sesuai di salah satu AWS SDKs.

Jika pengguna memiliki metode kontak terverifikasi, Amazon Cognito secara otomatis mengirim pesan ke pengguna saat pengguna meminta pengaturan ulang kata sandi.

Untuk mengonfigurasi kumpulan pengguna Anda agar memerlukan verifikasi email atau telepon

Ketika Anda memverifikasi alamat email dan nomor telepon pengguna Anda, Anda memastikan bahwa Anda dapat menghubungi pengguna Anda. Selesaikan langkah-langkah berikut di AWS Management Console untuk mengonfigurasi kumpulan pengguna Anda agar pengguna Anda mengonfirmasi alamat email atau nomor telepon mereka.

Alur otentikasi dengan verifikasi email atau telepon

Jika kolam pengguna Anda memerlukan pengguna untuk memverifikasi informasi kontak mereka, aplikasi Anda harus memfasilitasi alur berikut ini ketika pengguna mendaftar:

Jika Anda meminta pengguna untuk mengonfirmasi alamat email dan nomor telepon

Amazon Cognito memverifikasi hanya satu metode kontak ketika pengguna mendaftar. Dalam kasus di mana Amazon Cognito harus memilih antara memverifikasi alamat email atau nomor telepon, ia memilih untuk memverifikasi nomor telepon dengan mengirimkan kode verifikasi melalui pesan. SMS Sebagai contoh, jika Anda mengonfigurasi kolam pengguna Anda untuk mengizinkan pengguna untuk memverifikasi alamat email atau nomor telepon, dan jika aplikasi Anda menyediakan semua dari atribut ini saat pendaftaran, Amazon Cognito hanya memverifikasi nomor telepon. Setelah pengguna memverifikasi nomor teleponnya, Amazon Cognito menyetel status CONFIRMED pengguna, dan pengguna diizinkan untuk masuk ke aplikasi Anda.

Setelah pengguna masuk, aplikasi Anda dapat menyediakan opsi untuk memverikasi metode kontak yang belum terverifikasi selama pendaftaran. Untuk memverifikasi metode kedua ini, aplikasi Anda memanggil VerifyUserAttribute API tindakan. Perhatikan bahwa tindakan ini memerlukan parameter AccessToken, dan Amazon Cognito hanya menyediakan token akses untuk pengguna terautentikasi. Karena itu, Anda dapat memverifikasi metode kontak kedua hanya setelah pengguna masuk.

Jika Anda mengharuskan pengguna untuk memverifikasi alamat email dan nomor telepon, lakukan berikut ini:

Memungkinkan pengguna untuk mendaftar di aplikasi Anda tetapi mengonfirmasinya sebagai administrator kumpulan pengguna

Anda mungkin tidak ingin kumpulan pengguna Anda secara otomatis mengirim pesan verifikasi di kumpulan pengguna Anda, tetapi tetap ingin mengizinkan siapa pun untuk mendaftar akun. Model ini menyisakan ruang, misalnya, untuk tinjauan manusia atas permintaan pendaftaran baru, dan untuk validasi batch dan pemrosesan pendaftaran. Anda dapat mengonfirmasi akun pengguna baru di konsol Amazon Cognito atau dengan operasi yang IAM diautentikasiAPI. AdminConfirmSignUp Anda dapat mengonfirmasi akun pengguna sebagai administrator apakah kumpulan pengguna Anda mengirim pesan verifikasi atau tidak.

Anda hanya dapat mengonfirmasi pendaftaran layanan mandiri pengguna dengan teknik ini. Untuk mengonfirmasi pengguna yang Anda buat sebagai administrator, buat AdminSetUserPasswordAPIpermintaan dengan Permanent set toTrue.

Menghitung nilai hash rahasia

Tetapkan rahasia klien ke klien aplikasi rahasia Anda sebagai praktik terbaik. Saat Anda menetapkan rahasia klien ke klien aplikasi, permintaan API kumpulan pengguna Amazon Cognito Anda harus menyertakan hash yang menyertakan rahasia klien di badan permintaan. Untuk memvalidasi pengetahuan Anda tentang rahasia klien untuk API operasi dalam daftar berikut, menggabungkan rahasia klien dengan ID klien aplikasi dan nama pengguna pengguna Anda, lalu base64-encode string tersebut.

Saat aplikasi Anda menandatangani pengguna ke klien yang memiliki hash rahasia, Anda dapat menggunakan nilai atribut login kumpulan pengguna apa pun sebagai elemen nama pengguna dari hash rahasia. Saat aplikasi Anda meminta token baru dalam operasi autentikasi denganREFRESH_TOKEN_AUTH, nilai elemen nama pengguna bergantung pada atribut login Anda. Jika kumpulan pengguna Anda tidak memiliki username atribut login, tetapkan nilai nama pengguna hash rahasia dari sub klaim pengguna dari akses atau token ID mereka. usernameKapan atribut login, atur nilai username hash rahasia dari klaim. username

Kumpulan pengguna Amazon Cognito berikut APIs menerima nilai hash rahasia klien dalam suatu parameter. SecretHash

Selain itu, berikut ini APIs menerima nilai hash rahasia klien dalam SECRET_HASH parameter, baik dalam parameter otentikasi atau dalam respons tantangan.

Nilai hash rahasia adalah kode otentikasi pesan hash kunci yang dikodekan Base 64 (HMAC) yang dihitung menggunakan kunci rahasia klien kumpulan pengguna dan nama pengguna ditambah ID klien dalam pesan. Kode pseudo berikut menunjukkan bagaimana nilai ini dihitung. Dalam pseudocode ini, + menunjukkan penggabungan, mewakili fungsi yang menghasilkan HMAC nilai menggunakan HmacSHA256, dan HMAC_SHA256 Base64 mewakili fungsi yang menghasilkan versi keluaran hash yang disandikan Base-64.

Base64 ( HMAC_SHA256 ( "Client Secret Key", "Username" + "Client Id" ) )

Untuk ikhtisar terperinci tentang cara menghitung dan menggunakan SecretHash parameter, lihat Bagaimana cara memecahkan masalah kesalahan “Tidak dapat memverifikasi hash rahasia untuk klien” dari kumpulan pengguna Amazon Cognito <client-id>saya? API di pusat AWS pengetahuan.

Anda dapat menggunakan contoh kode berikut dalam kode aplikasi sisi server Anda.

Shell

echo -n "[username][app client ID]" | openssl dgst -sha256 -hmac [app client secret] -binary | openssl enc -base64

Java

import javax.crypto.Mac;
import javax.crypto.spec.SecretKeySpec;
 
public static String calculateSecretHash(String userPoolClientId, String userPoolClientSecret, String userName) {
    final String HMAC_SHA256_ALGORITHM = "HmacSHA256";
    
    SecretKeySpec signingKey = new SecretKeySpec(
            userPoolClientSecret.getBytes(StandardCharsets.UTF_8),
            HMAC_SHA256_ALGORITHM);
    try {
        Mac mac = Mac.getInstance(HMAC_SHA256_ALGORITHM);
        mac.init(signingKey);
        mac.update(userName.getBytes(StandardCharsets.UTF_8));
        byte[] rawHmac = mac.doFinal(userPoolClientId.getBytes(StandardCharsets.UTF_8));
        return Base64.getEncoder().encodeToString(rawHmac);
    } catch (Exception e) {
        throw new RuntimeException("Error while calculating ");
    }
}

Python

import sys
import hmac, hashlib, base64 
username = sys.argv[1] 
app_client_id = sys.argv[2] 
key = sys.argv[3] 
message = bytes(sys.argv[1]+sys.argv[2],'utf-8') 
key = bytes(sys.argv[3],'utf-8') 
secret_hash = base64.b64encode(hmac.new(key, message, digestmod=hashlib.sha256).digest()).decode() 
print("SECRET HASH:",secret_hash)

Mengonfirmasi akun pengguna tanpa memverifikasi email atau nomor telepon

Pemicu Lambda pra pendaftaran dapat digunakan untuk mengonfirmasi akun pengguna secara otomatis saat mendaftar, tanpa memerlukan kode konfirmasi atau memverifikasi email atau nomor telepon. Pengguna yang dikonfirmasi dengan cara ini dapat langsung masuk tanpa harus menerima kode.

Anda juga dapat menandai email atau nomor telepon pengguna yang diverifikasi melalui pemicu ini.

Jika Anda tidak mengharuskan pengguna untuk menerima dan memasukkan kode konfirmasi saat mendaftar dan Anda tidak memverifikasi email dan nomor telepon secara otomatis di pemicu Lambda sebelum pendaftaran, Anda berisiko tidak memiliki alamat email atau nomor telepon terverifikasi untuk akun pengguna tersebut. Pengguna dapat memverifikasi alamat email atau nomor telepon di lain waktu. Namun, jika pengguna lupa kata sandinya dan tidak memiliki alamat email atau nomor telepon yang diverifikasi, pengguna dikunci dari akun, karena alur lupa kata sandi memerlukan email atau nomor telepon yang diverifikasi untuk mengirim kode verifikasi kepada pengguna.

Memverifikasi kapan pengguna mengubah email atau nomor telepon mereka

Saat pengguna memperbarui alamat email atau nomor teleponnya di aplikasi Anda, Amazon Cognito segera mengirimkan pesan dengan kode verifikasi ke pengguna jika Anda mengonfigurasi kumpulan pengguna untuk memverifikasi atribut tersebut secara otomatis. Pengguna kemudian harus memberikan kode dari pesan verifikasi ke aplikasi Anda. Aplikasi Anda kemudian mengirimkan kode dalam VerifyUserAttributeAPIpermintaan untuk menyelesaikan verifikasi nilai atribut baru.

Jika kumpulan pengguna Anda tidak mengharuskan pengguna memverifikasi alamat email atau nomor telepon yang diperbarui, Amazon Cognito segera mengubah nilai phone_number atribut email atau yang diperbarui dan menandai atribut sebagai belum diverifikasi. Pengguna Anda tidak dapat masuk dengan email atau nomor telepon yang belum diverifikasi. Mereka harus menyelesaikan verifikasi nilai yang diperbarui sebelum mereka dapat menggunakan atribut itu sebagai alias masuk.

Jika kumpulan pengguna Anda mengharuskan pengguna memverifikasi alamat email atau nomor telepon yang diperbarui, Amazon Cognito menyimpan atribut tersebut diverifikasi dan disetel ke nilai aslinya hingga pengguna Anda memverifikasi nilai atribut baru. Jika atribut adalah alias untuk login, pengguna Anda dapat masuk dengan nilai atribut asli hingga verifikasi mengubah atribut ke nilai baru. Untuk informasi selengkapnya tentang cara mengonfigurasi kumpulan pengguna agar pengguna meminta pengguna memverifikasi atribut yang diperbarui, lihat Mengonfigurasi verifikasi email atau telepon.

Anda dapat menggunakan pemicu Lambda pesan khusus untuk menyesuaikan pesan verifikasi. Untuk informasi selengkapnya, lihat Pesan khusus Lambda pemicu. Jika alamat email atau nomor telepon pengguna tidak diverifikasi, aplikasi Anda harus memberi tahu pengguna bahwa mereka harus memverifikasi atribut, dan memberikan tombol atau tautan bagi pengguna untuk memverifikasi alamat email atau nomor telepon baru mereka.

Proses konfirmasi dan verifikasi untuk akun pengguna yang dibuat oleh administrator atau pengembang

Akun pengguna yang dibuat oleh administrator atau developer sudah dalam status terkonfirmasi, sehingga pengguna tidak perlu memasukkan kode konfirmasi. Pesan undangan yang dikirimkan layanan Amazon Cognito kepada pengguna ini mencakup nama pengguna dan kata sandi sementara. Pengguna diharuskan untuk mengubah kata sandi sebelum masuk. Untuk informasi lebih lanjut, lihat Sesuaikan email dan SMS pesan di Membuat akun pengguna sebagai administrator dan pemicu Pesan Kustom di Menyesuaikan alur kerja kumpulan pengguna dengan pemicu Lambda.

Proses konfirmasi dan verifikasi untuk akun pengguna yang diimpor

Akun pengguna yang dibuat menggunakan fitur impor pengguna di AWS Management Console,CLI, atau API (lihatMengimpor pengguna ke kumpulan pengguna dari file CSV) sudah dalam status terkonfirmasi, sehingga pengguna tidak diharuskan memasukkan kode konfirmasi. Tidak ada pesan undangan yang dikirim. Namun, akun pengguna yang diimpor mengharuskan pengguna untuk terlebih dahulu meminta kode dengan memanggil ForgotPassword API dan kemudian membuat kata sandi menggunakan kode yang dikirimkan dengan menelepon ConfirmForgotPassword API sebelum mereka masuk. Untuk informasi selengkapnya, lihat Mengharuskan pengguna yang diimpor untuk mengatur ulang kata sandi mereka.

Email atau nomor telepon pengguna harus ditandai sebagai terverifikasi saat akun pengguna diimpor, jadi tidak diperlukan verifikasi saat pengguna masuk.

Mengirim email saat menguji aplikasi

Amazon Cognito mengirimkan pesan email ke pengguna Anda saat mereka membuat dan mengelola akun mereka di aplikasi klien untuk kumpulan pengguna Anda. Jika Anda mengonfigurasi kolam pengguna Anda agar memerlukan verifikasi email, Amazon Cognito akan mengirimkan email saat:

Tergantung pada tindakan yang memulai email, email berisi kode verifikasi atau kata sandi sementara. Pengguna Anda harus menerima email ini dan memahami pesannya. Jika tidak, mereka mungkin tidak dapat masuk dan menggunakan aplikasi Anda.

Untuk memastikan bahwa email berhasil dikirim dan pesan terlihat benar, uji tindakan di aplikasi Anda yang memulai pengiriman email dari Amazon Cognito. Misalnya, dengan menggunakan halaman pendaftaran di aplikasi Anda, atau dengan menggunakan SignUp API tindakan, Anda dapat memulai email dengan mendaftar dengan alamat email pengujian. Saat Anda menguji dengan cara ini, ingat hal berikut:

Ketika Anda menguji tindakan yang memulai email, gunakan salah satu alamat email berikut untuk mencegah pentalan keras: