As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Como cadastrar e confirmar contas de usuários

Contas de usuários são adicionadas ao grupo de usuários de uma das seguintes formas:

Os usuários que se inscrevem precisam primeiro ser confirmados para que possam fazer login. Usuários importados e criados já estão confirmados, mas eles precisam criar uma senha própria na primeira vez em que fizerem login. As seções a seguir explicam o processo de confirmação e verificação de e-mail e telefone.

Visão geral da confirmação de conta de usuário

O diagrama a seguir ilustra o processo de confirmação:

Uma conta de usuário pode estar em qualquer um dos seguintes estados:

Como verificar informações de contato no cadastro

Quando novos usuários se cadastram no seu aplicativo, você provavelmente deseja que eles forneçam pelo menos um método de contato. Por exemplo, com as informações de contato dos usuários, você pode:

Para casos de uso como esses, é importante que você envie suas mensagens para um destino verificado. Caso contrário, suas mensagens podem ser enviadas para um endereço de e-mail inválido ou para um número de telefone que foi digitado incorretamente. Ou pior, você pode enviar informações confidenciais para agentes maldosos que se passam por seus usuários.

Para ajudar a garantir que você envie mensagens apenas aos indivíduos certos, configure o grupo de usuários do Amazon Cognito de modo que os usuários tenham que fornecer o seguinte, quando se cadastrarem:

Ao fornecer o código de verificação, um usuário comprova que tem acesso à caixa de correio ou ao telefone que recebeu o código. Depois que o usuário fornece o código, o Amazon Cognito atualiza as informações sobre o usuário no grupo de usuários das seguintes maneiras:

Para visualizar essas informações, você pode usar o console do Amazon Cognito. Ou você pode usar a AdminGetUser API operação, o admin-get-user comando com AWS CLI o. ou uma ação correspondente em um dos AWS SDKs.

Se um usuário tiver um método de contato verificado, o Amazon Cognito enviará automaticamente uma mensagem ao usuário quando ele solicitar uma redefinição de senha.

Para configurar o grupo de usuários para exigir a verificação de e-mail ou telefone

Ao confirmar os endereços de e-mail e os números de telefone, você garante que possa entrar em contato com seus usuários. Conclua as etapas a seguir AWS Management Console para configurar seu grupo de usuários para exigir que seus usuários confirmem seus endereços de e-mail ou números de telefone.

Fluxo de autenticação com verificação por e-mail ou telefone

Se o grupo de usuários exigir que os usuários verifiquem as informações de contato, seu aplicativo deverá facilitar o seguinte fluxo quando um usuário se cadastrar:

Se você necessitar que os usuários confirmem tanto endereços de e-mail como números de telefone

O Amazon Cognito verifica apenas um método de contato quando um usuário se cadastra. Nos casos em que o Amazon Cognito precisa escolher entre verificar um endereço de e-mail ou número de telefone, ele opta por verificar o número de telefone enviando um código de verificação por mensagem. SMS Por exemplo, se você configurar o grupo de usuários para permitir que os usuários verifiquem tanto endereços de e-mail como números de telefone, e se a aplicação fornecer ambos os atributos no cadastro, o Amazon Cognito verificará apenas o número de telefone. Depois que um usuário verifica o número de telefone dele, o Amazon Cognito define o respetivo status como CONFIRMED e ele tem permissão para fazer login na aplicação.

Depois que o usuário fizer login, o aplicativo poderá fornecer a opção de verificar o método de contato que não foi verificado durante o cadastro. Para verificar esse segundo método, seu aplicativo chama a VerifyUserAttribute API ação. Observe que essa ação requer um parâmetro AccessToken e o Amazon Cognito só fornece tokens de acesso para usuários autenticados. Portanto, você poderá verificar o segundo método de contato somente depois que o usuário fizer login.

Se você exigir que os usuários verifiquem tanto endereços de e-mail como números de telefone, faça o seguinte:

Permitir que os usuários se inscrevam na aplicação, mas mediante confirmação deles como administradores do grupo de usuários

Talvez você não queira que o grupo de usuários envie automaticamente mensagens de verificação no grupo de usuários, mas ainda queira que qualquer pessoa se inscreva em uma conta. Esse modelo deixa espaço, por exemplo, para análise humana de novas solicitações de inscrição e para validação em lote e processamento de inscrições. Você pode confirmar novas contas de usuário no console do Amazon Cognito ou com a operação IAM API -authenticated. AdminConfirmSignUp Você pode confirmar contas de usuário como administrador, independentemente de o grupo de usuários enviar ou não mensagens de verificação.

Você só pode confirmar a inscrição de autoatendimento de um usuário com essa técnica. Para confirmar um usuário que você criou como administrador, crie uma AdminSetUserPasswordAPIsolicitação com Permanent definido comoTrue.

Computar valores de hash de segredo

Atribua um segredo do cliente ao cliente da aplicação confidencial como prática recomendada. Quando você atribui um segredo de cliente ao seu cliente de aplicativo, suas API solicitações de grupos de usuários do Amazon Cognito devem incluir um hash que inclua o segredo do cliente no corpo da solicitação. Para validar seu conhecimento do segredo do cliente para as API operações nas listas a seguir, concatene o segredo do cliente com o ID do cliente do aplicativo e o nome de usuário do usuário e, em seguida, codifique essa string em base64.

Quando a aplicação conecta usuários a um cliente que tem um hash secreto, é possível utilizar o valor de qualquer atributo de login do grupo de usuários como o elemento de nome de usuário do hash secreto. Quando a aplicação solicita novos tokens em uma operação de autenticação com REFRESH_TOKEN_AUTH, o valor do elemento de nome de usuário depende dos seus atributos de login. Quando o grupo de usuários não tiver username como atributo de login, defina o valor do hash secreto do nome do usuário na declaração sub do usuário em seu token de acesso ou ID. Quando username é um atributo de login, defina o valor do nome de usuário de hash secreto da declaração username.

Os seguintes grupos de usuários do Amazon Cognito APIs aceitam um valor de hash secreto do cliente em um parâmetro. SecretHash

Além disso, os itens a seguir APIs aceitam um valor de hash secreto do cliente em um SECRET_HASH parâmetro, seja em parâmetros de autenticação ou em uma resposta de desafio.

O valor de hash secreto é um código de autenticação de mensagem com hash chave codificado em Base 64 (HMAC) calculado usando a chave secreta de um cliente e nome de usuário do grupo de usuários mais o ID do cliente na mensagem. O pseudocódigo a seguir mostra como esse valor é calculado. Nesse pseudocódigo, + indica concatenação, HMAC_SHA256 representa uma função que produz um HMAC valor usando Hmac SHA256 e Base64 representa uma função que produz uma versão codificada em Base-64 da saída de hash.

Base64 ( HMAC_SHA256 ( "Client Secret Key", "Username" + "Client Id" ) )

Para obter uma visão geral detalhada de como calcular e usar o SecretHash parâmetro, consulte Como soluciono os erros “Não é possível verificar o hash secreto para o cliente” dos meus grupos de usuários do Amazon Cognito<client-id>? API no Centro de AWS Conhecimento.

Você pode usar os exemplos de código a seguir no código da aplicação do lado do servidor.

Shell

echo -n "[username][app client ID]" | openssl dgst -sha256 -hmac [app client secret] -binary | openssl enc -base64

Java

import javax.crypto.Mac;
import javax.crypto.spec.SecretKeySpec;
 
public static String calculateSecretHash(String userPoolClientId, String userPoolClientSecret, String userName) {
    final String HMAC_SHA256_ALGORITHM = "HmacSHA256";
    
    SecretKeySpec signingKey = new SecretKeySpec(
            userPoolClientSecret.getBytes(StandardCharsets.UTF_8),
            HMAC_SHA256_ALGORITHM);
    try {
        Mac mac = Mac.getInstance(HMAC_SHA256_ALGORITHM);
        mac.init(signingKey);
        mac.update(userName.getBytes(StandardCharsets.UTF_8));
        byte[] rawHmac = mac.doFinal(userPoolClientId.getBytes(StandardCharsets.UTF_8));
        return Base64.getEncoder().encodeToString(rawHmac);
    } catch (Exception e) {
        throw new RuntimeException("Error while calculating ");
    }
}

Python

import sys
import hmac, hashlib, base64 
username = sys.argv[1] 
app_client_id = sys.argv[2] 
key = sys.argv[3] 
message = bytes(sys.argv[1]+sys.argv[2],'utf-8') 
key = bytes(sys.argv[3],'utf-8') 
secret_hash = base64.b64encode(hmac.new(key, message, digestmod=hashlib.sha256).digest()).decode() 
print("SECRET HASH:",secret_hash)

Como confirmar contas de usuários sem verificar e-mail ou número de telefone

O acionador de pré-cadastro do Lambda pode ser usado para confirmar automaticamente as contas de usuário no momento do cadastro sem a necessidade de um código de confirmação nem da verificação do e-mail ou do número de telefone. Usuários que são confirmados dessa maneira podem imediatamente fazer login sem a necessidade de receber um código.

Você também pode marcar um número de telefone ou e-mail do usuário como verificado por meio desse trigger.

Se você não exigir que o usuário receba e insira um código de confirmação no cadastro e não verifique automaticamente o e-mail e o número de telefone no acionador de pré-cadastro do Lambda, você correrá o risco de não ter um endereço de e-mail nem um número de telefone verificado para essa conta de usuário. O usuário pode confirmar o endereço de e-mail ou o número de telefone posteriormente. No entanto, se o usuário esquecer a senha e não tiver um número de telefone nem um endereço de e-mail verificado, ele será bloqueado da conta porque o fluxo de senha esquecida exige um número de telefone ou um e-mail verificado para enviar um código de verificação ao usuário.

Como verificar quando usuários alteram o e-mail ou o número de telefone

Quando um usuário atualiza o endereço de e-mail ou número de telefone na aplicação, o Amazon Cognito envia imediatamente uma mensagem com um código de confirmação ao usuário se você tiver configurado seu grupo de usuários para confirmar automaticamente esse atributo. Depois, o usuário precisa fornecer o código da mensagem de confirmação para a aplicação. Em seguida, seu aplicativo envia o código em uma VerifyUserAttributeAPIsolicitação para concluir a verificação do novo valor do atributo.

Se o grupo de usuários não exigir que os usuários confirmem um endereço de e-mail ou um número de telefone atualizado, o Amazon Cognito alterará imediatamente o valor de um atributo email ou phone_number atualizado e o marcará como não confirmado. Seu usuário não pode fazer login com um e-mail ou número de telefone não confirmado. Ele precisa concluir a confirmação do valor atualizado para poder usar esse atributo como um alias de login.

Se o grupo de usuários exigir que os usuários confirmem um endereço de e-mail ou um número de telefone atualizado, o Amazon Cognito deixará o atributo verificado e definido como seu valor original até que o usuário confirme o novo valor do atributo. Se o atributo for um alias para login, seu usuário poderá entrar com o valor do atributo original até que a confirmação altere o atributo para o novo valor. Para obter mais informações sobre como configurar seu grupo de usuários para exigir que os usuários confirmem atributos atualizados, consulte Configurar a confirmação de e-mail ou telefone.

Você pode usar um acionador de mensagem personalizada do Lambda para personalizar a mensagem de confirmação. Para obter mais informações, consulte Acionador do Lambda de mensagem personalizada. Sempre que o endereço de e-mail ou o número de telefone do usuário não estiverem verificados, sua aplicação deverá informar ao usuário que ele precisa verificar o atributo e fornecer um botão ou um link para que o usuário verifique o novo e-mail ou número de telefone.

Processos de confirmação e verificação para contas de usuários criadas por administradores ou desenvolvedores

As contas de usuários que foram criadas por um administrador ou desenvolvedor já ficam no estado confirmado para que os usuários não precisem inserir um código de confirmação. A mensagem de convite que o serviço do Amazon Cognito envia para esses usuários inclui o nome de usuário e uma senha temporária. O usuário precisa alterar a senha antes de fazer login. Para obter mais informações, consulte Personalize e-mails e SMS mensagens em Como criar contas de usuário como administrador e o trigger de mensagem personalizada em Como personalizar fluxos de trabalho do grupo de usuários com acionadores do Lambda.

Processos de confirmação e verificação para contas de usuários importadas

As contas de usuário criadas usando o recurso de importação de usuários no AWS Management Console CLI, ou API (consulteImportação de usuários para grupos de usuários a partir de um arquivo CSV) já estão no estado confirmado, portanto, os usuários não precisam inserir um código de confirmação. Nenhuma mensagem de convite é enviada. No entanto, as contas de usuário importadas exigem que os usuários primeiro solicitem um código chamando o ForgotPassword API e, em seguida, criem uma senha usando o código entregue ligando ConfirmForgotPassword API antes de entrarem. Para obter mais informações, consulte Solicitação de redefinição de senha aos usuários importados.

Quando a conta de usuário é importada, o número de telefone ou o e-mail do usuário deve ser marcado como confirmado de modo que nenhuma verificação seja necessária quando o usuário fizer login.

Como enviar e-mails enquanto testa sua aplicação

O Amazon Cognito envia e-mails aos usuários quando eles criam e gerenciam suas contas na aplicação cliente para o grupo de usuários. Se você configurar o grupo de usuários para solicitar verificação por e-mail, o Amazon Cognito enviará um e-mail quando:

Dependendo da ação que inicia o e-mail, o e-mail contém um código de verificação ou uma senha temporária. Os usuários devem receber esses e-mails e compreender a mensagem. Caso contrário, eles podem não conseguir fazer login e usar seu aplicativo.

Para garantir que os e-mails sejam enviados com êxito e que a mensagem pareça correta, teste na sua aplicação as ações que iniciam entregas de e-mail no Amazon Cognito. Por exemplo, usando a página de inscrição em seu aplicativo ou usando a SignUp API ação, você pode iniciar um e-mail inscrevendo-se com um endereço de e-mail de teste. Ao testar dessa forma, lembre-se do seguinte:

Ao testar ações que iniciam e-mails, use um dos seguintes endereços de e-mail para evitar devoluções definitivas: