Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Modelli di autorizzazione per l'autenticazione tramite API e SDK

Quando si inizia con l'autenticazione dei pool di utenti, è necessario decidere il modello di autorizzazione dell'applicazione. L'autenticazione di Amazon Cognito richiede in genere l'implementazione di due operazioni API in ordine. Le operazioni API utilizzate per l'autenticazione dipendono dalle caratteristiche dell'applicazione. I client pubblici, in cui l'applicazione viene distribuita agli utenti, utilizzano l'autenticazione pubblica, in cui le richieste di accesso non richiedono l'autorizzazione. I client lato server, in cui la logica dell'applicazione è ospitata su un sistema remoto, possono proteggere le operazioni di autenticazione con l'autorizzazione IAM per le richieste di accesso. Le seguenti coppie di operazioni API e i metodi SDK corrispondenti vengono mappati su ciascuno dei modelli di autorizzazione disponibili.

Per confrontare l'autenticazione delle API e visualizzare un elenco completo delle operazioni API e dei relativi modelli di autorizzazione, consultaComprendere l'API, l'OIDC e l'autenticazione delle pagine di accesso gestite.

Client-side (public) authentication

1. InitiateAuth

2. RespondToAuthChallenge

InitiateAuthe non RespondToAuthChallenge sono autenticati APIs per l'uso con client di app pubbliche lato client. Per ulteriori informazioni, consulta Opzioni di autenticazione lato client e Comprendere l'API, l'OIDC e l'autenticazione delle pagine di accesso gestite.

Server-side authentication

1. AdminInitiateAuth

2. AdminRespondToAuthChallenge

AdminInitiateAuth e AdminRespondToAuthChallenge richiedono credenziali IAM e sono adatte per client di app riservate lato server. Per ulteriori informazioni, consulta Opzioni di autenticazione lato server e Comprendere l'API, l'OIDC e l'autenticazione delle pagine di accesso gestite.

L'autenticazione di un utente viene effettuata rispondendo a richieste successive fino a che l'autenticazione non riesce o Amazon Cognito emette token per l'utente. Puoi ripetere questi passaggi con Amazon Cognito, in un processo che include richieste di autenticazione di tipo diverso, per supportare qualsiasi flusso di autenticazione personalizzato.

Opzioni di autenticazione lato server

Le applicazioni Web e altre applicazioni lato server implementano l'autenticazione in una sessione su un server remoto, in genere in un browser che avvia una sessione su quel server. Le applicazioni lato server presentano in genere le seguenti caratteristiche.

Le operazioni lato server con l'API dei pool di utenti possono utilizzare password, password monouso o passkey come fattore di accesso principale. Per le app lato server, l'autenticazione dei bacini d'utenza è analoga a quella per le app lato client, con le seguenti eccezioni:

Per ulteriori informazioni sulla firma delle richieste API di Amazon Cognito con AWS credenziali, consulta il processo di firma Signature versione 4 nella AWS Guida generale.

Nella risposta di AdminInitiateAuth ChallengeParameters, l'attributo USER_ID_FOR_SRP, se presente, contiene il nome utente reale dell'utente e non un alias (come l'indirizzo e-mail o il numero di telefono). Nella chiamata a AdminRespondToAuthChallenge, in ChallengeResponses, è necessario passare questo nome utente nel parametro USERNAME.

Opzioni di autenticazione lato client

Le app mobili e altri tipi di applicazioni lato client installate sui dispositivi degli utenti hanno in genere le seguenti caratteristiche.

Le operazioni lato client con l'API dei pool di utenti possono utilizzare password, password monouso o passkey come fattore di accesso principale. Il processo seguente funziona per le app utente lato client create con o con. AWS AmplifyAWS SDKs

Comprendere l'API, l'OIDC e l'autenticazione delle pagine di accesso gestite

I pool di utenti di Amazon Cognito sono una combinazione di diverse tecnologie di autenticazione. Si affidano a provider di identità esterni ()IdPs. Si tratta IdPs di applicazioni che implementano l'autenticazione con OpenID Connect (OIDC). SDKs Forniscono l'autenticazione come emittenti di token web JSON (JWTs) in modo simile all'autenticazione OIDC, ma con metodi API che fanno parte di. AWS SDKs Possono anche essere punti di accesso sicuri alle tue applicazioni.

Quando desideri eseguire la registrazione, l'accesso e la gestione di utenti nel pool di utenti, puoi utilizzare due opzioni.

Puoi collegare un utente federato, che normalmente accede tramite gli endpoint dei pool di utenti, con un utente il cui profilo è locale al pool di utenti. Un utente locale esiste esclusivamente nella directory del pool di utenti senza federazione tramite un IdP esterno. Se colleghi la loro identità federata a un utente locale in una richiesta AdminLinkProviderForUserAPI, possono accedere con l'API dei pool di utenti. Per ulteriori informazioni, consulta Collegamento di utenti federati a un profilo utente esistente.

L'API dei pool di utenti di Amazon Cognito ha un doppio scopo.

Nell'API dei pool di utenti di Amazon Cognito, non è possibile consentire l'accesso agli utenti che eseguono la federazione tramite un IdP. Questi utenti devono essere autenticati tramite gli endpoint del pool di utenti. Per ulteriori informazioni sugli endpoint del pool di utenti che includono l'accesso gestito, consulta. Endpoint del pool di utenti e riferimento per l'accesso gestito

I tuoi utenti federati possono iniziare dall'accesso gestito e selezionare il loro IdP, oppure puoi saltare l'accesso gestito e inviare gli utenti direttamente al tuo IdP per l'accesso. Quando la richiesta API a Endpoint Authorize include un parametro IdP, Amazon Cognito reindirizza automaticamente l'utente alla pagina di accesso IdP.

L'API dei pool di utenti e le pagine di accesso gestito supportano una varietà di scenari, descritti in questa guida. Nelle sezioni seguenti viene illustrato in che modo l'API dei pool di utenti si divide ulteriormente in classi che supportano i requisiti di registrazione, accesso e gestione delle risorse.

Operazioni API autenticate e non autenticate per pool di utenti di Amazon Cognito

L'API dei pool di utenti di Amazon Cognito, un'interfaccia di gestione delle risorse e un'interfaccia di autenticazione e autorizzazione lato utente, combina i modelli di autorizzazione che seguono le relative operazioni. A seconda dell'operazione API, potrebbe essere necessario fornire l'autorizzazione con credenziali IAM, un token di accesso, un token di sessione, un segreto del client o una combinazione di questi. Per molte operazioni di autenticazione e autorizzazione utente, è possibile scegliere tra versioni autenticate e non autenticate della richiesta. Le operazioni non autenticate sono best practice di sicurezza per le app distribuite agli utenti, come app per dispositivi mobili; non è necessario includere alcun segreto nel codice.

È possibile assegnare autorizzazioni solo nelle policy IAM per Operazioni di gestione autenticate IAM e Operazioni utente autenticate IAM.