Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Utilizzo dei dispositivi utente nel pool di utenti

Quando accedi agli utenti del pool di utenti locali con i pool di utenti di Amazon CognitoAPI, puoi associare i registri delle attività degli utenti provenienti da funzionalità di sicurezza avanzate a ciascuno dei loro dispositivi e, facoltativamente, consentire agli utenti di ignorare l'autenticazione a più fattori (MFA) se utilizzano un dispositivo affidabile. Amazon Cognito include una chiave del dispositivo nella risposta a qualsiasi accesso che non includa già le informazioni sul dispositivo. La chiave del dispositivo è nel formato Region_UUID. Con una chiave del dispositivo, una libreria Secure Remote Password (SRP) e un pool di utenti che consente l'autenticazione del dispositivo, puoi richiedere agli utenti della tua app di fidarsi del dispositivo corrente e di non richiedere più un MFA codice all'accesso.

Configurazione dei dispositivi memorizzati

Con i pool di utenti di Amazon Cognito, puoi associare ogni dispositivo degli utenti a un identificatore univoco, ovvero a una chiave del dispositivo. Specificando la chiave del dispositivo ed eseguendo l'autenticazione del dispositivo al momento dell'accesso, puoi sfruttare due funzionalità.

Quando l'utente accede con un dispositivo memorizzato, è necessario eseguire un'autenticazione aggiuntiva del dispositivo durante il flusso di autenticazione. Per ulteriori informazioni, consulta Accesso con un dispositivo.

Configura la memorizzazione del dispositivo a livello di pool di utenti nella scheda Esperienza di accesso del pool di utenti, in Monitoraggio del dispositivo. Quando imposti le funzionalità dei dispositivi memorizzati nella console Amazon Cognito, hai tre opzioni: Always, User Opt-In e No.

Quando scegli Memorizza sempre o Accettazione dall'utente, Amazon Cognito genera una chiave identificativa del dispositivo e un segreto ogni volta che un utente accede da un dispositivo non identificato. La chiave del dispositivo è l'identificatore iniziale che l'app invia al pool di utenti quando l'utente esegue l'autenticazione del dispositivo.

Con ogni dispositivo utente confermato (memorizzato automaticamente o accettato dall'utente), puoi utilizzare la chiave identificativa del dispositivo e il segreto per autenticare un dispositivo a ogni accesso utente.

Puoi anche configurare le impostazioni dei dispositivi ricordati per il tuo pool di utenti in una CreateUserPoolrichiesta or. UpdateUserPoolAPI Per ulteriori informazioni, consulta la DeviceConfigurationproprietà.

I pool API di utenti di Amazon Cognito offrono operazioni aggiuntive per i dispositivi memorizzati.

APIle operazioni con nomi che iniziano con Admin sono destinate all'uso nelle app lato server e devono essere autorizzate con IAM credenziali. Per ulteriori informazioni, consulta Utilizzo dei pool di utenti API e del server di autorizzazione.

Recupero della chiave di un dispositivo

Ogni volta che un utente accede ai pool di utenti API e non include una chiave del dispositivo nei parametri di autenticazioneDEVICE_KEY, Amazon Cognito restituisce una nuova chiave del dispositivo nella risposta. Nell'app pubblica lato client, inserisci la chiave del dispositivo nell'archivio dell'app in modo da poterla includere nelle richieste future. Nell'app riservata lato server, imposta un cookie del browser o un altro token lato client con la chiave del dispositivo dell'utente.

Prima che l'utente possa accedere con il proprio dispositivo attendibile, l'app deve confermare la chiave del dispositivo e fornire informazioni aggiuntive. Genera una ConfirmDevicerichiesta ad Amazon Cognito che confermi il dispositivo dell'utente con la chiave del dispositivo, un nome descrittivo, un verificatore di password e un codice identificativo. Se hai configurato il pool di utenti per l'autenticazione del dispositivo tramite l'opzione Accettazione dall'utente, Amazon Cognito risponde alla richiesta ConfirmDevice chiedendo all'utente di scegliere se memorizzare il dispositivo corrente. Rispondi con la selezione dell'utente in una richiesta. UpdateDeviceStatus

Quando confermi il dispositivo dell'utente ma non lo imposti come dispositivo memorizzato, Amazon Cognito memorizza l'associazione ma procede con l'accesso senza dispositivo quando fornisci la chiave del dispositivo. I dispositivi possono generare log utili per la sicurezza e la risoluzione dei problemi degli utenti. Un dispositivo confermato ma non memorizzato non usa la funzionalità di accesso, ma sfrutta la funzionalità dei log di monitoraggio della sicurezza. Quando attivi le funzionalità di sicurezza avanzata per il client dell'app e codifichi il footprint del dispositivo nella tua richiesta, Amazon Cognito associa gli eventi utente al dispositivo confermato.

Accesso con un dispositivo

Dopo aver configurato il dispositivo di un utente in modo che venga memorizzato, Amazon Cognito non richiede più che l'utente invii un MFA codice quando accede con la stessa chiave del dispositivo. L'autenticazione del dispositivo sostituisce solo la sfida MFA -authentication con una sfida di autenticazione del dispositivo. Non è possibile effettuare l'accesso degli utenti solo con l'autenticazione del dispositivo. L'utente deve prima completare l'autenticazione con la propria password o una richiesta di autenticazione personalizzata. Di seguito è riportato il processo di autenticazione per un utente su un dispositivo memorizzato.

Per eseguire l'autenticazione del dispositivo in un flusso che utilizza i trigger Lambda della sfida di autenticazione personalizzata, passa un DEVICE_KEY parametro nella richiesta. InitiateAuthAPI Dopo che l'utente ha completato con successo tutte le richieste di autorizzazione e la richiesta di autenticazione CUSTOM_CHALLENGE ha restituito true come valore issueTokens, Amazon Cognito restituisce un'ultima richiesta DEVICE_SRP_AUTH.

Il seguente pseudocodice mostra come calcolare i valori per la risposta alla richiesta DEVICE_PASSWORD_VERIFIER.

PASSWORD_CLAIM_SECRET_BLOCK = SECRET_BLOCK
TIMESTAMP = Tue Sep 25 00:09:40 UTC 2018
PASSWORD_CLAIM_SIGNATURE = Base64(SHA256_HMAC(K_USER, DeviceGroupKey + DeviceKey + PASSWORD_CLAIM_SECRET_BLOCK + TIMESTAMP))
K_USER = SHA256_HASH(S_USER)
S_USER = (SRP_B - k * gx)(a + ux)
x = SHA256_HASH(salt + FULL_PASSWORD)
u = SHA256_HASH(SRP_A + SRP_B)
k = SHA256_HASH(N + g)

Visualizzazione, aggiornamento e annullamento della memorizzazione dei dispositivi

Puoi implementare le seguenti funzionalità nella tua app con Amazon CognitoAPI.

I token di accesso che autorizzano le API richieste nelle seguenti descrizioni devono includere l'ambito. aws.cognito.signin.user.admin Amazon Cognito aggiunge un claim per questo ambito a tutti i token di accesso generati con i pool di utenti di Amazon Cognito. API IdPs Le terze parti devono gestire separatamente i dispositivi e MFA i relativi utenti che si autenticano su Amazon Cognito. Nell'interfaccia utente ospitata, puoi richiedere l'ambito aws.cognito.signin.user.admin, ma l'interfaccia utente ospitata aggiunge automaticamente le informazioni sul dispositivo ai log utente di sicurezza avanzata e non consente la memorizzazione dei dispositivi.

Visualizzazione delle informazioni su un dispositivo

È possibile eseguire una query sulle informazioni sul dispositivo di un utente per determinare se è ancora in uso. Ad esempio, potresti voler disattivare i dispositivi memorizzati se non hanno effettuato l'accesso per 90 giorni consecutivi.

Visualizzazione dell'elenco di tutti i dispositivi dell'utente.

Puoi visualizzare l'elenco di tutti i dispositivi dell'utente e delle relative proprietà. Ad esempio, potresti voler verificare se il dispositivo corrente corrisponde a un dispositivo memorizzato.

Annullamento della memorizzazione di un dispositivo

Puoi eliminare la chiave del dispositivo di un utente. Potresti voler eseguire questa operazione quando stabilisci che l'utente non utilizza più un dispositivo o quando rilevi attività insolite e desideri richiedere a un utente di completare nuovamente l'operazione. MFA Per registrare nuovamente il dispositivo in un secondo momento, è necessario generare e archiviare una nuova chiave del dispositivo.