Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
# Impostazioni specifiche dell'applicazione con client di app
Un client dell'app del pool di utenti è una configurazione all'interno di un pool di utenti che interagisce con un'applicazione per dispositivi mobili o Web che esegue l'autenticazione con Amazon Cognito. I client di app possono chiamare operazioni API autenticate e non autenticate, nonché leggere o modificare alcuni o tutti gli attributi degli utenti. L'app deve identificarsi con il client dell'app durante le operazioni di registrazione, accesso e gestione delle password dimenticate. Queste richieste API devono includere identificazione automatica con un ID del client dell'app e l'autorizzazione con un segreto client opzionale. È necessario proteggere qualsiasi client IDs o segreto dell'app in modo che solo le app client autorizzate possano effettuare queste operazioni non autenticate. Inoltre, se configuri la tua app per firmare richieste API autenticate con AWS credenziali, devi proteggere le tue credenziali dall'ispezione da parte degli utenti.
È possibile creare più client app per un bacino d'utenza. Un client dell'app potrebbe essere collegato alla piattaforma di codice di un'app o a un tenant separato nel pool di utenti. Ad esempio, puoi creare un'app per un'applicazione lato server e un'app Android diversa. Ogni app ha il proprio ID client.
È possibile applicare le impostazioni per le seguenti funzionalità del pool di utenti a livello di client dell'app:
1. [Analisi](cognito-user-pools-pinpoint-integration.md)
1. [Accesso gestito](cognito-user-pools-managed-login.md) IdPs, tipi di concessione, callback URLs e personalizzazione
1. [Server di risorse e ambiti personalizzati](cognito-user-pools-define-resource-servers.md)
1. [Protezione dalle minacce](cognito-user-pool-settings-threat-protection.md)
1. [Attribuisci le autorizzazioni di lettura e scrittura](user-pool-settings-attributes.md#user-pool-settings-attribute-permissions-and-scopes)
1. [Scadenza e revoca del token](amazon-cognito-user-pools-using-tokens-with-identity-providers.md)
1. [Flussi di autenticazione](authentication.md#amazon-cognito-user-pools-authentication-flow)
## Tipi di client di app
**Quando crei un client per app in Amazon Cognito, puoi precompilare le opzioni in base ai tipi di OAuth client standard, client **pubblico** e client riservato.** Configurare un **client riservato** con un **client secret**. Per ulteriori informazioni sui tipi di client, vedere [IETF RFC 6749 \$12.1](https://datatracker.ietf.org/doc/html/rfc6749#section-2.1).
**Client pubblico**
Un client pubblico viene eseguito in un browser o su un dispositivo mobile. Poiché non dispone di risorse affidabili sul lato server, non ha un client secret.
**Client riservato**
Un client riservato dispone di risorse lato server che possono essere attendibili e di un **client secret** per operazioni API non autenticate L'app potrebbe essere eseguita come daemon o script di shell sul server back-end.
**Client secret**
Un client secret, o client password, è una stringa fissa che l'app deve utilizzare in tutte le richieste API che invia al client dell'app. Il client dell'app deve avere un client secret per eseguire la concessione di `client_credentials`. Per ulteriori informazioni, consulta [IETF RFC 6749 \$12.3.1](https://datatracker.ietf.org/doc/html/rfc6749#section-2.3.1).
Ogni client dell'app può avere fino a due segreti alla volta, permettendo una rotazione segreta senza tempi di inattività. Quando crei un client per app, puoi consentire ad Amazon Cognito di generare un valore segreto o fornire un valore segreto personalizzato. Non puoi modificare il client secret una volta che hai creato un'app. Puoi aggiungere un secondo segreto con l'operazione [AddUserPoolClientSecret](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_AddUserPoolClientSecret.html)API per ruotare i segreti. Quando aggiungi un segreto, puoi consentire ad Amazon Cognito di generare un valore segreto o fornire un valore segreto personalizzato. Per eliminare un segreto, utilizza l'operazione [DeleteUserPoolClientSecret](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_DeleteUserPoolClientSecret.html)API. Non è possibile eliminare l'unico segreto associato a un client dell'app. Puoi anche eliminare un'app per bloccare l'accesso da app che usano l'ID client di quell'app.
La console Amazon Cognito crea client di app con segreti client quando selezioni le opzioni di **applicazione Web tradizionale e achine-to-machine applicazione** **M** per tipo di applicazione. Scegli una di queste opzioni per generare un client secret oppure crea il client programmaticamente con [CreateUserPoolClient](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_CreateUserPoolClient.html)e impostalo su. `GenerateSecret` `true`
È possibile utilizzare un client riservato e un client secret con un'app pubblica. Usa un CloudFront proxy Amazon per aggiungere un proxy `SECRET_HASH` in transito. Per ulteriori informazioni, consulta [Proteggere i client pubblici per Amazon Cognito utilizzando un CloudFront proxy Amazon](https://aws.amazon.com/blogs/security/protect-public-clients-for-amazon-cognito-by-using-an-amazon-cloudfront-proxy/) sul AWS blog.
## Token web JSON
I client dell'app Amazon Cognito possono emettere token web JSON (JWTs) dei seguenti tipi.
**Token di identità (ID)**
Una dichiarazione verificabile attestante che l'utente è autenticato dal pool di utenti. OpenID Connect (OIDC) ha aggiunto la [specifica del token ID agli standard dei token](https://openid.net/specs/openid-connect-core-1_0.html#IDToken) di accesso e aggiornamento definiti dalla versione 2.0. OAuth Il token ID contiene informazioni sull'identità, come gli attributi utente, che l'app può utilizzare per creare un profilo utente e fornire risorse. Per ulteriori informazioni, consulta [Comprensione del token di identità (ID)](amazon-cognito-user-pools-using-the-id-token.md).
**Token di accesso**
Una dichiarazione verificabile dei diritti di accesso dell'utente. Il token di accesso contiene [gli ambiti](https://datatracker.ietf.org/doc/html/rfc6749#section-3.3), una funzionalità di OIDC e 2.0. OAuth L'app può presentare gli ambiti delle risorse di back-end e dimostrare che il pool di utenti ha autorizzato un utente o una macchina ad accedere ai dati da un'API o ai propri dati utente. Un token di accesso con *ambiti personalizzati*, spesso ottenuto tramite una concessione di credenziali client M2M, autorizza l'accesso a un server di risorse. Per ulteriori informazioni, consulta [Comprendere il token di accesso](amazon-cognito-user-pools-using-the-access-token.md).
**Token di aggiornamento**
Una dichiarazione crittografata di autenticazione iniziale che l'app può presentare al pool di utenti quando i token dell'utente scadono. Una richiesta refresh-token restituisce token di accesso e ID nuovi e non scaduti. Per ulteriori informazioni, consulta [Aggiorna i token](amazon-cognito-user-pools-using-the-refresh-token.md).
**Puoi impostare la scadenza di questi token per ogni app client dal menu App client del tuo pool di utenti nella console [Amazon Cognito](https://console.aws.amazon.com/cognito/v2/idp/user-pools).**
## Termini del client dell'app
I termini seguenti sono proprietà disponibili dei client di app nella console Amazon Cognito.
**Richiamata consentita URLs**
Un URL di callback indica dove l'utente deve essere reindirizzato dopo aver effettuato correttamente l'accesso. Scegli almeno un URL di callback. L'URL di callback deve:
+ Deve essere un URI assoluto.
+ Deve essere preregistrato con un client.
+ Non deve includere un componente di frammento.
Vedi [OAuth 2.0 - endpoint di reindirizzamento.](https://tools.ietf.org/html/rfc6749#section-3.1.2)
Amazon Cognito richiede `HTTPS` su `HTTP` tranne che per `http://localhost` a solo scopo di test.
`myapp://example`Sono supportati anche i callback delle app, URLs ad esempio.
**Disconnessione consentita URLs**
Un URL di disconnessione indica dove l'utente deve essere reindirizzato dopo la disconnessione.
**Autorizzazioni di lettura e scrittura dell'attributo**
Il tuo pool di utenti potrebbe avere molti clienti, ognuno con il proprio client di app e IdPs. Puoi configurare il client dell'app in modo che abbia accesso in lettura e scrittura solo agli attributi utente pertinenti all'app. In casi come l'autorizzazione machine-to-machine (M2M), puoi concedere l'accesso a nessuno dei tuoi attributi utente.
**Considerazioni sulla configurazione delle autorizzazioni di lettura e scrittura degli attributi**
+ Quando crei un client per app e non personalizzi le autorizzazioni di lettura e scrittura degli attributi, Amazon Cognito concede le autorizzazioni di lettura e scrittura a tutti gli attributi del pool di utenti.
+ Puoi concedere l'accesso in scrittura ad [attributi personalizzati non modificabili](user-pool-settings-attributes.md#user-pool-settings-custom-attributes.title). Il client dell'app può scrivere valori in attributi immutabili quando crei o registri un utente. Dopodiché, non puoi scrivere valori in alcun attributo personalizzato non modificabile per l'utente.
+ I client dell'app devono avere accesso in scrittura agli attributi richiesti nel pool di utenti. La console Amazon Cognito imposta automaticamente gli attributi richiesti come scrivibili.
+ Non puoi consentire a un client dell'app di avere accesso in scrittura a `email_verified` o a `phone_number_verified`. Un amministratore del pool di utenti può modificare questi valori. Un utente può modificare il valore di questi attributi solo tramite la [verifica degli attributi](signing-up-users-in-your-app.md#allowing-users-to-sign-up-and-confirm-themselves.title).
**Flusso di autenticazione**
I metodi di accesso consentiti dal client dell'app. La tua app può supportare l'autenticazione con nome utente e password, messaggi e-mail e SMS OTPs, autenticatori con chiave di accesso, autenticazione personalizzata con trigger Lambda e aggiornamento dei token. Come migliore pratica di sicurezza, utilizza l'autenticazione SRP per l'autenticazione di nome utente e password in applicazioni personalizzate.
**Ambiti personalizzati**
Un ambito personalizzato è quello che viene definito per il proprio server di risorse nella scheda **Resource Servers (Server di Risorse)**. Il formato è*resource-server-identifier*/*scope*. Per informazioni, consulta [Ambiti, M2M e server di risorse](cognito-user-pools-define-resource-servers.md).
**URI di reindirizzamento predefinito**
Sostituisce il `redirect_uri` parametro nelle richieste di autenticazione per gli utenti con terze parti. IdPs Configura questa impostazione del client dell'app con il `DefaultRedirectURI` parametro di una richiesta [CreateUserPoolClient](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_CreateUserPoolClient.html)o [UpdateUserPoolClient](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_UpdateUserPoolClient.html)API. Questo URL deve inoltre essere un membro del client `CallbackURLs` for your app. Amazon Cognito reindirizza le sessioni autenticate a questo URL quando:
1. [Al client dell'app è assegnato un [provider di identità](#app-client-terms-identity-provider) e sono stati definiti più callback. URLs](#app-client-terms-callback-urls) Il pool di utenti reindirizza le richieste di autenticazione al [server di autorizzazione](authorization-endpoint.md) all'URI di reindirizzamento predefinito quando non includono un parametro. `redirect_uri`
1. [Al client dell'app è assegnato un [provider di identità](#app-client-terms-identity-provider) e viene definito un callback. URLs](#app-client-terms-callback-urls) In questo scenario non è necessario definire un URL di callback predefinito. Le richieste che non includono un `redirect_uri` parametro reindirizzano all'unico URL di callback disponibile.
**Fornitori di identità**
Puoi scegliere alcuni o tutti i provider di identità esterni del tuo pool di utenti (IdPs) per autenticare i tuoi utenti. Il client di app può inoltre autenticare solo gli utenti locali del pool di utenti. Quando aggiungi un IdP al client dell'app, puoi generare link di autorizzazione all'IdP e visualizzarli nella pagina di accesso gestito. Puoi assegnarne più di uno IdPs, ma devi assegnarne almeno uno. Per ulteriori informazioni sull'utilizzo di dispositivi esterni IdPs, vedere. [Accesso al pool di utenti con provider di identità di terze parti](cognito-user-pools-identity-federation.md)
**Ambiti OpenID Connect**
Scegli uno o più dei seguenti ambiti `OAuth` per specificare i privilegi di accesso che possono essere richiesti per i token d'accesso.
+ L'ambito `openid` dichiara che desideri recuperare un token ID e l'ID univoco di un utente. Richiede inoltre tutti o alcuni attributi utente, a seconda degli ambiti aggiuntivi nella richiesta. Amazon Cognito non restituisce un token ID a meno che non venga richiesto l'ambito `openid`. L'ambito `openid` autorizza le attestazioni dei token ID strutturali come la scadenza e l'ID chiave e determina gli attributi utente che ricevi in una risposta da [Endpoint UserInfo](userinfo-endpoint.md).
+ Quando `openid` è l'unico ambito richiesto, Amazon Cognito popola il token ID con tutti gli attributi utente che il client dell'app corrente è in grado di leggere. La risposta `userInfo` a un token di accesso con questo ambito restituisce tutti gli attributi utente.
+ Quando richiedi `openid` con altri ambiti come `phone`, `email` o `profile`, il token ID e `userInfo` restituiscono l'ID univoco dell'utente e gli attributi definiti dagli ambiti aggiuntivi.
+ L'ambito `phone` permette l'accesso alle richieste `phone_number` e `phone_number_verified`. Questo ambito può essere richiesto solo con l'ambito `openid`.
+ L'ambito `email` permette l'accesso alle richieste `email` e `email_verified`. Questo ambito può essere richiesto solo con l'ambito `openid`.
+ L'`aws.cognito.signin.user.admin`ambito consente l'accesso alle operazioni [API dei pool di utenti di Amazon Cognito](authentication-flows-public-server-side.md#user-pools-API-operations) che richiedono token di accesso, come e. [UpdateUserAttributes[VerifyUserAttribute](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_VerifyUserAttribute.html)](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_UpdateUserAttributes.html)
+ L'ambito `profile` permette l'accesso a tutti gli attributi dell'utente negli ID token che sono leggibili dal client. Questo ambito può essere richiesto solo con l'ambito `openid`.
Per ulteriori informazioni sugli ambiti, consulta la lista degli [ambiti OIDC standard](http://openid.net/specs/openid-connect-core-1_0.html#ScopeClaims).
**OAuth tipi di sovvenzioni**
Una OAuth concessione è un metodo di autenticazione che recupera i token del pool di utenti. Amazon Cognito supporta i seguenti tipi di concessioni. Per integrare queste OAuth concessioni nella tua app, devi aggiungere un dominio al tuo pool di utenti.
**Concessione codice autorizzazione**
La concessione del codice di autorizzazione genera un codice che l'app può scambiare con i token del pool di utenti con [Endpoint Token](token-endpoint.md). Durante lo scambio di un codice di autorizzazione, l'app riceve token ID, di accesso e di aggiornamento. Questo OAuth flusso, come la concessione implicita, avviene nei browser degli utenti. La concessione di un codice di autorizzazione è la concessione più sicura offerta da Amazon Cognito, poiché i token non sono visibili nelle sessioni degli utenti. Invece, l'app genera la richiesta che restituisce i token e può memorizzarli nella cache in uno spazio di archiviazione protetto. Per ulteriori informazioni, vedere *Codice di autorizzazione* in [IETF RFC 6749 \$11 .3.1](https://datatracker.ietf.org/doc/html/rfc6749#section-1.3.1)
Come migliore pratica di sicurezza nelle app per client pubblici, attiva solo il OAuth flusso di concessione del codice di autorizzazione e implementa Proof Key for Code Exchange (PKCE) per limitare lo scambio di token. Con PKCE, un client può scambiare un codice di autorizzazione solo dopo aver fornito all'endpoint del token lo stesso segreto presentato nella richiesta di autenticazione originale. Per ulteriori informazioni, consulta [IETF RFC 7636](https://datatracker.ietf.org/doc/html/rfc7636).
**Implicit grant (Concessione implicita)**
La concessione implicita fornisce un token di accesso e ID, ma non un token di aggiornamento, alla sessione del browser dell'utente direttamente da [Endpoint Authorize](authorization-endpoint.md). Una concessione implicita rimuove il requisito di una richiesta separata all'endpoint del token, ma non è compatibile con PKCE e non restituisce token di aggiornamento. Questa concessione supporta scenari di test e architetture di app che non consentono di completare la concessione di codici di autorizzazione. Per ulteriori informazioni, consulta *Concessione implicita* in [IETF RFC 6749 \$11.3.2](https://datatracker.ietf.org/doc/html/rfc6749#section-1.3.2). Puoi attivare sia la concessione del codice di autorizzazione sia la concessione implicita in un client dell’app e usare entrambe in base alle esigenze.
**Concessione credenziali del client**
La concessione delle credenziali del client è per le comunicazioni (M2M). machine-to-machine Il codice di autorizzazione e le concessioni implicite emettono token a utenti umani autenticati. Le credenziali del client concedono l'autorizzazione basata sull'ambito da un sistema non interattivo a un'API. L'app può richiedere le credenziali del client direttamente dall'endpoint del token e ricevere un token di accesso. Per ulteriori informazioni, consulta *Credenziali del client* in [IETF RFC 6749 \$11 .3.4](https://datatracker.ietf.org/doc/html/rfc6749#section-1.3.4). È possibile attivare la concessione di credenziali client solo nei client di app che dispongono di un client secret e che non supportano il codice di autorizzazione o le concessioni implicite.
Poiché il flusso di credenziali del client non viene richiamato come un utente, questa concessione può solo aggiungere ambiti *personalizzati* per accedere ai token. Un ambito personalizzato è quello che viene definito per il proprio server di risorse. Gli ambiti predefiniti come `openid` e `profile` non si applicano agli utenti non umani.
Poiché i token ID sono una convalida degli attributi utente, non sono rilevanti per la comunicazione M2M e una concessione delle credenziali del client non li rilascia. Per informazioni, consulta [Ambiti, M2M e server di risorse](cognito-user-pools-define-resource-servers.md).
Le credenziali del cliente garantiscono costi aggiuntivi alla fattura. AWS Per ulteriori informazioni, consultare [Prezzi di Amazon Cognito](https://aws.amazon.com/cognito/pricing).
## Creazione di un client dell'app
------
#### [ Console di gestione AWS ]
**Come creare un client dell'app (console)**
1. Passa alla [console Amazon Cognito](https://console.aws.amazon.com/cognito/home). Se richiesto, inserisci le tue credenziali. AWS
1. Scegli **User Pools** (Pool di utenti).
1. Scegli un bacino d'utenza esistente dall'elenco o creane uno nuovo. Entrambe le opzioni richiedono di configurare un client dell'app con impostazioni specifiche dell'applicazione.
1. Scegliete un **tipo di applicazione** che rifletta l'architettura dell'applicazione.
1. Assegna un **nome alla tua applicazione** con un identificatore intuitivo.
1. Inserisci un **URL di ritorno**.
1. Scegli **Create app client** (Crea client dell'app). Puoi modificare le opzioni avanzate dopo aver creato il client dell'app.
1. Amazon Cognito ti riporta ai dettagli del client dell'app. Per accedere al codice di esempio per la tua applicazione, seleziona una piattaforma dalla scheda **Guida alla configurazione rapida**.
------
#### [ AWS CLI ]
```
aws cognito-idp create-user-pool-client --user-pool-id MyUserPoolID --client-name myApp
```
**Nota**
Usa il formato JSON per il callback e il logout per impedire URLs alla CLI di trattarli come file di parametri remoti:
```
--callback-urls "["https://example.com"]"
--logout-urls "["https://example.com"]"
```
Per ulteriori informazioni, consulta il riferimento ai AWS CLI comandi: [create-user-pool-client](https://docs.aws.amazon.com/cli/latest/reference/cognito-idp/create-user-pool-client.html)
------
#### [ Amazon Cognito user pools API ]
Genera una richiesta [CreateUserPoolClient](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_CreateUserPoolClient.html)API. È necessario specificare un valore per tutti i parametri che non si desidera impostare su un valore predefinito.
------
## Aggiornamento del client (AWS CLI e dell' AWS API) di un'app per pool di utenti
Al AWS CLI, inserisci il seguente comando:
```
aws cognito-idp update-user-pool-client --user-pool-id "MyUserPoolID" --client-id "MyAppClientID" --allowed-o-auth-flows-user-pool-client --allowed-o-auth-flows "code" "implicit" --allowed-o-auth-scopes "openid" --callback-urls "["https://example.com"]" --supported-identity-providers "["MySAMLIdP", "LoginWithAmazon"]"
```
Se il comando ha esito positivo, AWS CLI restituisce una conferma:
```
{
"UserPoolClient": {
"ClientId": "MyClientID",
"SupportedIdentityProviders": [
"LoginWithAmazon",
"MySAMLIdP"
],
"CallbackURLs": [
"https://example.com"
],
"AllowedOAuthScopes": [
"openid"
],
"ClientName": "Example",
"AllowedOAuthFlows": [
"implicit",
"code"
],
"RefreshTokenValidity": 30,
"AuthSessionValidity": 3,
"CreationDate": 1524628110.29,
"AllowedOAuthFlowsUserPoolClient": true,
"UserPoolId": "MyUserPoolID",
"LastModifiedDate": 1530055177.553
}
}
```
Per ulteriori informazioni, vedere il riferimento ai AWS CLI comandi: [update-user-pool-client](https://docs.aws.amazon.com/cli/latest/reference/cognito-idp/update-user-pool-client.html).
AWS API: [UpdateUserPoolClient](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_UpdateUserPoolClient.html)
## Ottenere informazioni su un client di app con pool di utenti (AWS CLI e AWS API)
```
aws cognito-idp describe-user-pool-client --user-pool-id MyUserPoolID --client-id MyClientID
```
Vedi il riferimento ai AWS CLI comandi per ulteriori informazioni: [describe-user-pool-client](https://docs.aws.amazon.com/cli/latest/reference/cognito-idp/describe-user-pool-client.html).
AWS API: [DescribeUserPoolClient](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_DescribeUserPoolClient.html)
## Elenco di tutte le informazioni sui client dell'app in un pool di utenti (AWS CLI e AWS API)
```
aws cognito-idp list-user-pool-clients --user-pool-id "MyUserPoolID" --max-results 3
```
Vedi il riferimento ai AWS CLI comandi per ulteriori informazioni: [list-user-pool-clients](https://docs.aws.amazon.com/cli/latest/reference/cognito-idp/list-user-pool-clients.html).
AWS API: [ListUserPoolClients](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_ListUserPoolClients.html)
## Eliminazione di un client (AWS CLI e di un' AWS API) per l'app del pool di utenti
```
aws cognito-idp delete-user-pool-client --user-pool-id "MyUserPoolID" --client-id "MyAppClientID"
```
Per ulteriori informazioni, consulta il riferimento ai AWS CLI comandi: [delete-user-pool-client](https://docs.aws.amazon.com/cli/latest/reference/cognito-idp/delete-user-pool-client.html)
AWS API: [DeleteUserPoolClient](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_DeleteUserPoolClient.html)