Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

L'endpoint dell'emittente del token

L'endpoint del token OAuth 2.0 /oauth2/token emette token web JSON (JWT) alle applicazioni che desiderano completare i flussi di concessione del codice di autorizzazione e delle credenziali del cliente. Questi token sono il risultato finale dell'autenticazione con un pool di utenti. Contengono informazioni sull'utente (token ID), sul livello di accesso dell'utente (token di accesso) e sul diritto dell'utente a mantenere la sessione di accesso (token di aggiornamento). Le librerie relying-party di OpenID Connect (OIDC) gestiscono le richieste e i payload di risposta provenienti da questo endpoint. I token forniscono una prova di autenticazione verificabile, informazioni sul profilo e un meccanismo per l'accesso ai sistemi di back-end.

L'endpoint del token restituisce un'intestazione di risposta. Access-Control-Allow-Origin: * È possibile chiamare l'endpoint del token cross-origin da un'applicazione basata su browser. Ad esempio, puoi completare la concessione di un codice di autorizzazione con Proof Key for Code Exchange (PKCE) di un client pubblico. Amazon Cognito non supporta politiche di origine personalizzate per la condivisione di risorse tra origini (CORS) su questo endpoint. Per ulteriori informazioni, consulta la sezione sulle politiche CORS di. Accesso gestito dal pool di utenti

Il server di autorizzazione OAuth 2.0 del pool di utenti invia token web JSON (JWT) dall'endpoint del token ai seguenti tipi di sessioni:

L'endpoint token diventa disponibile pubblicamente quando si aggiunge un dominio al pool di utenti. Accetta le richieste POST HTTP. Per la sicurezza delle applicazioni, utilizza PKCE con gli eventi di accesso al codice di autorizzazione. PKCE verifica che l'utente che trasmette un codice di autorizzazione sia lo stesso utente che ha effettuato l'autenticazione. Per ulteriori informazioni su PKCE, vedere IETF RFC 7636.

Per saperne di più sul pool di utenti, sui client delle app e sui relativi tipi di concessione, sui segreti dei client, sugli ambiti consentiti e sugli ID client, visita. Impostazioni specifiche dell'applicazione con client di app Puoi saperne di più sull'autorizzazione M2M, sulla concessione delle credenziali dei client e sull'autorizzazione con gli ambiti dei token di accesso all'indirizzo. Ambiti, M2M e server di risorse

Per recuperare informazioni su un utente dal suo token di accesso, passale alla tua Endpoint UserInfo o a una richiesta API. GetUser Il token di accesso deve contenere gli ambiti appropriati per queste richieste,

Formatta una richiesta POST sull'endpoint del token

L'endpoint /oauth2/token supporta solo HTTPS POST. Questo endpoint non è interattivo con l'utente. Gestisci le richieste di token con una libreria OpenID Connect (OIDC) nella tua applicazione.

L'endpoint token supporta l'autenticazione client_secret_basic e client_secret_post. Per ulteriori informazioni sulla specifica OIDC, consulta Client Authentication. https://openid.net/specs/openid-connect-core-1_0.html#ClientAuthentication Per ulteriori informazioni sull'endpoint Token della specifica OpenID Connect, consulta Endpoint Token.

Parametri della richiesta nell'intestazione

Puoi passare i seguenti parametri nell'intestazione della richiesta all'endpoint del token.

Parametri della richiesta nel corpo

Di seguito sono riportati i parametri che è possibile richiedere in x-www-form-urlencoded formato nel corpo della richiesta all'endpoint del token.

Sostituzione di un codice di autorizzazione per i token

La seguente richiesta genera con successo ID, token di accesso e aggiornamento dopo l'autenticazione con una concessione del codice di autorizzazione. La richiesta trasmette il segreto del client nel formato riportato nell'intestazione. client_secret_basic Authorization

POST https://mydomain.auth.us-east-1.amazoncognito.com/oauth2/token&
Content-Type='application/x-www-form-urlencoded'&
Authorization=Basic ZGpjOTh1M2ppZWRtaTI4M2V1OTI4OmFiY2RlZjAxMjM0NTY3ODkw

grant_type=authorization_code&
client_id=1example23456789&
code=AUTHORIZATION_CODE&
redirect_uri=com.myclientapp://myclient/redirect

La risposta fornisce all'utente nuovi token ID, di accesso e di aggiornamento, con metadati aggiuntivi.

HTTP/1.1 200 OK
Content-Type: application/json

{
    "access_token": "eyJra1example",
    "id_token": "eyJra2example",
    "refresh_token": "eyJj3example",
    "token_type": "Bearer",
    "expires_in": 3600
}

Credenziali del cliente con autorizzazione di base

La seguente richiesta da un'applicazione M2M richiede la concessione delle credenziali del client. Poiché le credenziali del client richiedono un segreto client, la richiesta viene autorizzata con un'Authorizationintestazione derivata dall'ID e dal segreto del client dell'app. La richiesta genera un token di accesso con i due ambiti richiesti. La richiesta include anche i metadati del cliente che forniscono IP-address informazioni e un token rilasciato all'utente per conto del quale è stata concessa la concessione. Amazon Cognito trasmette i metadati del client al trigger Lambda precedente alla generazione del token.

POST https://mydomain.auth.us-east-1.amazoncognito.com/oauth2/token >
Content-Type='application/x-www-form-urlencoded'&
Authorization=Basic ZGpjOTh1M2ppZWRtaTI4M2V1OTI4OmFiY2RlZjAxMjM0NTY3ODkw

grant_type=client_credentials&
client_id=1example23456789&
scope=resourceServerIdentifier1%2Fscope1%20resourceServerIdentifier2%2Fscope2&
&aws_client_metadata=%7B%22onBehalfOfToken%22%3A%22eyJra789ghiEXAMPLE%22,%20%22ClientIpAddress%22%3A%22192.0.2.252%22%7D

Amazon Cognito passa il seguente evento di input al trigger Lambda precedente alla generazione del token.

{
    version: '3',
    triggerSource: 'TokenGeneration_ClientCredentials',
    region: 'us-east-1',
    userPoolId: 'us-east-1_EXAMPLE',
    userName: 'ClientCredentials',
    callerContext: {
        awsSdkVersion: 'aws-sdk-unknown-unknown',
        clientId: '1example23456789'
    },
    request: {
        userAttributes: {},
        groupConfiguration: null,
        scopes: [
           'resourceServerIdentifier1/scope1',
           'resourceServerIdentifier2/scope2'
        ],
        clientMetadata: {
            'onBehalfOfToken': 'eyJra789ghiEXAMPLE',
            'ClientIpAddress': '192.0.2.252'
        }
    },
    response: { claimsAndScopeOverrideDetails: null }
}

La risposta restituisce un token di accesso. Le credenziali del client vengono concesse per l'autorizzazione da macchina a macchina (M2M) e restituiscono solo token di accesso.

HTTP/1.1 200 OK
Content-Type: application/json
{
    "access_token": "eyJra1example",
    "token_type": "Bearer",
    "expires_in": 3600
}
                    

Credenziali del cliente con autorizzazione POST body

La seguente richiesta di concessione delle credenziali del cliente include il client_secret parametro nel corpo della richiesta e non include un'intestazione. Authorization Questa richiesta utilizza la sintassi di autorizzazione. client_secret_post La richiesta genera un token di accesso con l'ambito richiesto. La richiesta include anche i metadati del cliente che forniscono IP-address informazioni e un token rilasciato all'utente per conto del quale è stata concessa la concessione. Amazon Cognito trasmette i metadati del client al trigger Lambda precedente alla generazione del token.

POST /oauth2/token HTTP/1.1
Content-Type: application/x-www-form-urlencoded
X-Amz-Target: AWSCognitoIdentityProviderService.Client credentials request
User-Agent: USER_AGENT
Accept: /
Accept-Encoding: gzip, deflate, br
Content-Length: 177
Referer: http://auth.example.com/oauth2/token
Host: auth.example.com
Connection: keep-alive

grant_type=client_credentials&
client_id=1example23456789&
scope=my_resource_server_identifier%2Fmy_custom_scope&
client_secret=9example87654321&
aws_client_metadata=%7B%22onBehalfOfToken%22%3A%22eyJra789ghiEXAMPLE%22,%20%22ClientIpAddress%22%3A%22192.0.2.252%22%7D

Amazon Cognito passa il seguente evento di input al trigger Lambda precedente alla generazione del token.

{
    version: '3',
    triggerSource: 'TokenGeneration_ClientCredentials',
    region: 'us-east-1',
    userPoolId: 'us-east-1_EXAMPLE',
    userName: 'ClientCredentials',
    callerContext: {
        awsSdkVersion: 'aws-sdk-unknown-unknown',
        clientId: '1example23456789'
    },
    request: {
        userAttributes: {},
        groupConfiguration: null,
        scopes: [
           'resourceServerIdentifier1/my_custom_scope'
        ],
        clientMetadata: {
            'onBehalfOfToken': 'eyJra789ghiEXAMPLE',
            'ClientIpAddress': '192.0.2.252'
        }
    },
    response: { claimsAndScopeOverrideDetails: null }
}

La risposta restituisce un token di accesso. Le credenziali del client vengono concesse per l'autorizzazione da macchina a macchina (M2M) e restituiscono solo token di accesso.

HTTP/1.1 200 OK
Content-Type: application/json;charset=UTF-8
Date: Tue, 05 Dec 2023 16:11:11 GMT
x-amz-cognito-request-id: 829f4fe2-a1ee-476e-b834-5cd85c03373b

{
    "access_token": "eyJra12345EXAMPLE",
    "expires_in": 3600,
    "token_type": "Bearer"
}

Concessione del codice di autorizzazione con PKCE

La seguente richiesta di esempio completa una richiesta di autorizzazione inclusa code_challenge_method e i code_challenge parametri in una richiesta di concessione del codice di autorizzazione con PKCE.

POST https://mydomain.auth.us-east-1.amazoncognito.com/oauth2/token
Content-Type='application/x-www-form-urlencoded'&
Authorization=Basic ZGpjOTh1M2ppZWRtaTI4M2V1OTI4OmFiY2RlZjAxMjM0NTY3ODkw

grant_type=authorization_code&
client_id=1example23456789&
code=AUTHORIZATION_CODE&
code_verifier=CODE_VERIFIER&
redirect_uri=com.myclientapp://myclient/redirect

La risposta restituisce l'ID, l'accesso e i token di aggiornamento derivanti dall'avvenuta verifica PKCE da parte dell'applicazione.

HTTP/1.1 200 OK
Content-Type: application/json

{
    "access_token": "eyJra1example",
    "id_token": "eyJra2example",
    "refresh_token": "eyJj3example",
    "token_type": "Bearer",
    "expires_in": 3600
}

Aggiornamento del token senza rotazione del token di aggiornamento

Le seguenti richieste di esempio forniscono un token di aggiornamento a un client dell'app in cui la rotazione del token di aggiornamento è inattiva. Poiché il client dell'app ha un segreto client, la richiesta fornisce un'intestazione. Authorization

POST https://mydomain.auth.us-east-1.amazoncognito.com/oauth2/token >
Content-Type='application/x-www-form-urlencoded'&
Authorization=Basic ZGpjOTh1M2ppZWRtaTI4M2V1OTI4OmFiY2RlZjAxMjM0NTY3ODkw

grant_type=refresh_token&
client_id=1example23456789&
refresh_token=eyJj3example

La risposta restituisce un nuovo ID e token di accesso.

HTTP/1.1 200 OK
Content-Type: application/json

{
    "access_token": "eyJra1example",
    "id_token": "eyJra2example",
    "token_type": "Bearer",
    "expires_in": 3600
}

Aggiornamento del token con rotazione del token di aggiornamento

Le seguenti richieste di esempio forniscono un token di aggiornamento a un client dell'app in cui è attiva la rotazione del token di aggiornamento. Poiché il client dell'app ha un segreto client, la richiesta fornisce un'Authorizationintestazione.

POST https://mydomain.auth.us-east-1.amazoncognito.com/oauth2/token >
Content-Type='application/x-www-form-urlencoded'&
Authorization=Basic ZGpjOTh1M2ppZWRtaTI4M2V1OTI4OmFiY2RlZjAxMjM0NTY3ODkw

grant_type=refresh_token&
client_id=1example23456789&
refresh_token=eyJj3example

La risposta restituisce nuovi ID, token di accesso e aggiornamento.

HTTP/1.1 200 OK
Content-Type: application/json

{
    "access_token": "eyJra1example",
    "id_token": "eyJra2example",
    "refresh_token": "eyJj4example",
    "token_type": "Bearer",
    "expires_in": 3600
}

Esempi di risposte negative

Le richieste non valide generano errori dall'endpoint del token. Di seguito è riportata una mappa generale del corpo della risposta quando le richieste di token generano un errore.

HTTP/1.1 400 Bad Request
Content-Type: application/json;charset=UTF-8

{
"error":"invalid_request|invalid_client|invalid_grant|unauthorized_client|unsupported_grant_type"
}