Configurações de e-mail para grupos de usuários do Amazon Cognito - Amazon Cognito

As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Configurações de e-mail para grupos de usuários do Amazon Cognito

Certos eventos em seu aplicativo podem fazer com que o Amazon Cognito envie e-mails para seus usuários. Por exemplo, se você configurar o grupo de usuários para exigir verificação de e-mail, o Amazon Cognito enviará um e-mail quando um usuário se cadastrar em uma nova conta na aplicação ou redefinir a senha. Dependendo da ação que inicia o e-mail, o e-mail contém um código de verificação ou uma senha temporária.

Para processar a entrega de e-mails, você pode usar uma das seguintes opções:

Você pode alterar a opção de entrega depois de criar o grupo de usuários.

O Amazon Cognito envia mensagens de e-mail para seus usuários com um código que eles podem inserir ou um URL link que eles podem selecionar. A tabela a seguir mostra os eventos que podem gerar uma mensagem de e-mail.

Opções de mensagem

Atividade APIoperação Opções de entrega Opções de formato Personalizável Modelo de mensagem
Esqueci a senha ForgotPassword, AdminResetUserPassword E-mail, SMS Código Não N/D
Convite AdminCreateUser E-mail, SMS Código Sim Mensagem de convite
Autorregistro SignUp, ResendConfirmationCode E-mail, SMS código, link Sim Mensagem de verificação
Verificação de endereço de e-mail ou número de telefone UpdateUserAttributes, AdminUpdateUserAttributes, GetUserAttributeVerificationCode E-mail, SMS Código Sim Mensagem de verificação
Autenticação multifatorial () MFA AdminInitiateAuth, InitiateAuth Email¹, aplicativo SMS autenticador Código Sim² MFAmensagem

¹ Requer recursos avançados de segurança e configuração de SES e-mail da Amazon.

² Para mensagens de e-mail SMS e de e-mail.

A Amazon SES cobra por mensagens de e-mail. Para obter mais informações, consulte os SESpreços da Amazon.

Para saber mais sobre e-mailMFA, consulte SMSe mensagem de e-mail MFA.

Configuração de e-mail padrão

O Amazon Cognito pode usar sua configuração de e-mail padrão para lidar com entregas de e-mail para você. Quando você usa a opção padrão, o Amazon Cognito limita o número de e-mails que ele envia por dia para o grupo de usuários. Para obter mais informações sobre limites do serviço, consulte Cotas no Amazon Cognito. Para ambientes de produção típicos, o limite de e-mails padrão fica abaixo do volume de entrega necessário. Para permitir um maior volume de entrega, você pode usar sua configuração de SES e-mail da Amazon.

Ao usar a configuração padrão, você usa SES os recursos da Amazon que são gerenciados pelo AWS para enviar mensagens de e-mail. SESA Amazon adiciona endereços de e-mail que retornam um hard bounce a uma lista de supressão em nível de conta ou a uma lista de supressão global. Se um endereço de e-mail não entregue for entregue posteriormente, você não poderá controlar sua remoção da lista de supressão enquanto seu grupo de usuários estiver configurado para usar a configuração padrão. Um endereço de e-mail pode permanecer na lista de supressão AWS gerenciada indefinidamente. Para gerenciar endereços de e-mail não entregues, use sua configuração de SES e-mail da Amazon com uma lista de supressão em nível de conta, conforme descrito na próxima seção.

Ao usar a configuração de e-mail padrão, você pode usar qualquer um dos seguintes endereços de e-mail como FROM endereço:

  • O endereço de e-mail padrão, no-reply@verificationemail.com.

  • Um endereço de e-mail personalizado. Antes de usar seu próprio endereço de e-mail, você deve verificá-lo com a Amazon SES e conceder permissão ao Amazon Cognito para usar esse endereço.

Configuração de SES e-mail da Amazon

O aplicativo pode exigir um volume de entrega maior do que está disponível com a opção padrão. Para aumentar o possível volume de entrega, use seus SES recursos da Amazon com seu grupo de usuários para enviar e-mails aos seus usuários. Você também pode monitorar sua atividade de envio de e-mail ao enviar mensagens de e-mail com sua própria SES configuração da Amazon.

Antes de usar sua SES configuração da Amazon, você deve verificar um ou mais endereços de e-mail, ou um domínio, com a AmazonSES. Use um endereço de e-mail verificado ou um endereço de um domínio verificado como o endereço de FROM e-mail que você atribui ao seu grupo de usuários. Quando o Amazon Cognito envia um e-mail para um usuário, ele liga para a Amazon SES para você e usa seu endereço de e-mail.

Quando você usa sua SES configuração da Amazon, as seguintes condições se aplicam:

Regiões SES de configuração de e-mail da Amazon

O Região da AWS local onde você cria um grupo de usuários terá um dos três requisitos para a configuração de mensagens de e-mail com a AmazonSES. Você pode enviar mensagens de e-mail da Amazon SES na mesma região do seu grupo de usuários, em várias regiões, incluindo a mesma região, ou em uma ou mais regiões remotas. Para obter o melhor desempenho, envie mensagens de e-mail com uma identidade SES verificada pela Amazon na mesma região do seu grupo de usuários quando você tiver a opção.

Categorias de requisitos regionais para identidades SES verificadas pela Amazon
Somente na região

Seus grupos de usuários podem enviar mensagens de e-mail com identidades verificadas da Região da AWS mesma forma que o grupo de usuários. Na configuração de e-mail padrão sem um endereço de FROM e-mail personalizado, o Amazon Cognito usa uma identidade no-reply@verificationemail.com verificada na mesma região.

Compatível com versões anteriores

Seus grupos de usuários podem enviar mensagens de e-mail com identidades verificadas na mesma região Região da AWS ou em uma das seguintes regiões alternativas:

  • Leste dos EUA (Norte da Virgínia)

  • Oeste dos EUA (Oregon)

  • Europa (Irlanda)

Esse recurso oferece suporte à continuidade dos recursos do grupo de usuários que você pode ter criado para atender aos requisitos do Amazon Cognito quando o serviço foi lançado. Os grupos de usuários desse período só podiam enviar mensagens de e-mail com identidades verificadas em um número limitado de Regiões da AWS. Na configuração de e-mail padrão sem um endereço de FROM e-mail personalizado, o Amazon Cognito usa uma identidade no-reply@verificationemail.com verificada na mesma região.

Região alternativa

Seus grupos de usuários podem enviar mensagens de e-mail com identidades verificadas em uma alternativa Região da AWS que esteja fora da região do grupo de usuários. Essa configuração ocorre quando a Amazon SES não está disponível em uma região em que o Amazon Cognito está disponível.

A política de autorização de SES envio da Amazon para sua identidade verificada na região alternativa deve confiar no responsável pelo serviço Amazon Cognito da região de origem. Para obter mais informações, consulte Para conceder permissões para usar a configuração de e-mail padrão.

Em algumas dessas regiões, o Amazon Cognito divide as mensagens de e-mail entre duas regiões alternativas para a configuração de e-mail padrão do. COGNITO_DEFAULT Nesses casos, para usar um endereço de FROM e-mail personalizado, a política de autorização de SES envio da Amazon para sua identidade verificada em cada região alternativa deve confiar no responsável pelo serviço principal do Amazon Cognito da região de origem. Para obter mais informações, consulte Para conceder permissões para usar a configuração de e-mail padrão. Com a configuração de SES e-mail da Amazon DEVELOPER nessas regiões, você deve usar uma identidade verificada na primeira região listada e configurá-la para confiar no responsável pelo serviço principal do Amazon Cognito na região do grupo de usuários. Por exemplo, em um grupo de usuários no Oriente Médio (UAE), configure uma identidade verificada na Europa (Frankfurt) como confiávelcognito-idp.me-central-1.amazonaws.com. Na configuração de e-mail padrão sem um endereço de FROM e-mail personalizado, o Amazon Cognito usa uma identidade no-reply@verificationemail.com verificada em cada região.

nota

Sob a seguinte combinação de condições, você deve especificar o SourceArn parâmetro EmailConfigurationcom um curinga no elemento Região, no formatoarn:${Partition}:ses:*:${Account}:identity/${IdentityName}. Isso permite que seu grupo de usuários envie mensagens de e-mail com identidades verificadas idênticas às suas Conta da AWS em ambos. Regiões da AWS

  • O seu EmailSendingAccount éCOGNITO_DEFAULT.

  • Você quer usar um FROM endereço personalizado.

  • Seu grupo de usuários envia e-mails em uma região alternativa.

  • Seu grupo de usuários tem uma segunda região 1alternativa especificada na tabela de regiões SES suportadas pela Amazon a seguir.

Se você criar um grupo de usuários programaticamente — com um, o AWS SDK Amazon Cognito ou, o CLI AWS CDK, API ou AWS CloudFormation— seu grupo de usuários enviará mensagens de e-mail com a SES identidade da Amazon que o SourceArn parâmetro de especifica para seu grupo de usuários. EmailConfiguration A SES identidade da Amazon deve ocupar um espaço suportado Região da AWS. Se sua EmailSendingAccount for COGNITO_DEFAULT e você não especificar um parâmetro SourceArn, o Amazon Cognito enviará mensagens de e-mail de no-reply@verificationemail.com usando recursos na região onde você criou o grupo de usuários.

A tabela a seguir mostra Regiões da AWS onde você pode usar as SES identidades da Amazon com o Amazon Cognito.

Região do grupo de usuários Opção de região Regiões SES suportadas pela Amazon

Leste dos EUA (Norte da Virgínia)

Compatível com versões anteriores

Leste dos EUA (Norte da Virgínia), Oeste dos EUA (Oregon), Europa (Irlanda)

Leste dos EUA (Ohio)

Compatível com versões anteriores

Leste dos EUA (Ohio), Leste dos EUA (Norte da Virgínia), Oeste dos EUA (Oregon), Europa (Irlanda)

Oeste dos EUA (N. da Califórnia)

Somente na região

Oeste dos EUA (N. da Califórnia)

Oeste dos EUA (Oregon)

Compatível com versões anteriores

Leste dos EUA (Norte da Virgínia), Oeste dos EUA (Oregon), Europa (Irlanda)

Canadá (Central)

Compatível com versões anteriores

Canadá (Central), Leste dos EUA (Norte da Virgínia), Oeste dos EUA (Oregon), Europa (Irlanda)

Oeste do Canadá (Calgary)

Região alternativa

Canadá (Central), Oeste dos EUA (Norte da Califórnia) 1

Ásia-Pacífico (Tóquio)

Compatível com versões anteriores

Ásia-Pacífico (Tóquio), Leste dos EUA (Norte da Virgínia), Oeste dos EUA (Oregon), Europa (Irlanda)

Ásia-Pacífico (Hong Kong)

Região alternativa

Ásia-Pacífico (Cingapura), Ásia-Pacífico (Tóquio) 1

Ásia-Pacífico (Seul)

Compatível com versões anteriores

Ásia-Pacífico (Seul), Leste dos EUA (Norte da Virgínia), Oeste dos EUA (Oregon), Europa (Irlanda)

Ásia-Pacífico (Mumbai)

Compatível com versões anteriores

Ásia-Pacífico (Mumbai), Leste dos EUA (Norte da Virgínia), Oeste dos EUA (Oregon), Europa (Irlanda)

Ásia-Pacífico (Hyderabad)

Região alternativa

Ásia-Pacífico (Mumbai), Ásia-Pacífico (Cingapura) 1

Ásia-Pacífico (Singapura)

Compatível com versões anteriores

Ásia-Pacífico (Singapura), Leste dos EUA (Norte da Virgínia), Oeste dos EUA (Oregon), Europa (Irlanda)

Ásia-Pacífico (Sydney)

Compatível com versões anteriores

Ásia-Pacífico (Sydney), Leste dos EUA (Norte da Virgínia), Oeste dos EUA (Oregon), Europa (Irlanda)

Ásia-Pacífico (Osaka)

Somente na região

Ásia-Pacífico (Osaka)

Ásia-Pacífico (Jacarta)

Somente na região

Ásia-Pacífico (Jacarta)

Ásia-Pacífico (Melbourne)

Região alternativa

Ásia-Pacífico (Sydney), Ásia-Pacífico (Cingapura) 1

Europa (Irlanda)

Compatível com versões anteriores

Leste dos EUA (Norte da Virgínia), Oeste dos EUA (Oregon), Europa (Irlanda)

Europa (Londres)

Compatível com versões anteriores

Europa (Londres), Leste dos EUA (Norte da Virgínia), Oeste dos EUA (Oregon), Europa (Irlanda)

Europa (Paris)

Somente na região

Europa (Paris)

Europa (Frankfurt)

Compatível com versões anteriores

Europa (Frankfurt), Leste dos EUA (Norte da Virgínia), Oeste dos EUA (Oregon), Europa (Irlanda)

Europa (Zurique)

Região alternativa

Europa (Frankfurt), Europa (Londres) 1

Europa (Estocolmo)

Somente na região

Europa (Estocolmo)

Europa (Milão)

Somente na região

Europa (Milão)
Europa (Espanha)

Região alternativa

Europa (Paris), Europa (Estocolmo) 1

Oriente Médio (Barém)

Somente na região

Oriente Médio (Barém)

Oriente Médio (UAE)

Região alternativa

Europa (Frankfurt), Europa (Londres) 1

América do Sul (São Paulo)

Somente na região

América do Sul (São Paulo)

Israel (Tel Aviv)

Somente na região

Israel (Tel Aviv)

África (Cidade do Cabo)

Somente na região

África (Cidade do Cabo)

1 Usado em grupos de usuários com a configuração de e-mail padrão. O Amazon Cognito distribui mensagens de e-mail entre identidades verificadas com o mesmo endereço de e-mail em cada região. Para usar um FROM endereço personalizado, configure EmailConfiguration com um SourceArn parâmetro no formatoarn:${Partition}:ses:*:${Account}:identity/${IdentityName}.

Configurar e-mail para seu grupo de usuários

Execute as etapas a seguir para definir as configurações de e-mail do grupo de usuários. Dependendo das configurações que você usa, você pode precisar de IAM permissões na AmazonSES, AWS Identity and Access Management (IAM) e no Amazon Cognito.

nota

Não é possível compartilhar os recursos criados nessas etapas entre Contas da AWS. Por exemplo, você não pode configurar um grupo de usuários em uma conta e depois usá-lo com um endereço de SES e-mail da Amazon em uma conta diferente. Se você usar o Amazon Cognito em várias contas, repita essas etapas em cada uma.

Etapa 1: verifique seu endereço de e-mail ou domínio com a Amazon SES

Antes de configurar seu grupo de usuários, você deve verificar um ou mais domínios ou endereços de e-mail com a Amazon SES se quiser fazer o seguinte:

  • Use seu próprio endereço de e-mail como FROM endereço

  • Use sua SES configuração da Amazon para lidar com a entrega de e-mails

Ao verificar seu endereço de e-mail ou domínio, você confirma que é o proprietário, o que ajuda a impedir o uso não autorizado.

Para obter informações sobre como verificar um endereço de e-mail com a AmazonSES, consulte Verificação de um endereço de e-mail no Guia do desenvolvedor do Amazon Simple Email Service. Para obter informações sobre como verificar um domínio com a AmazonSES, consulte Verificação de domínios.

Etapa 2: mova sua conta para fora do SES sandbox da Amazon

Omita essa etapa se você estiver usando a configuração de e-mail padrão do Amazon Cognito.

Quando você usa a Amazon pela primeira vez SES em qualquer região Região da AWS, ela coloca você Conta da AWS na SES sandbox da Amazon dessa região. A Amazon SES usa o sandbox para evitar fraudes e abusos. Se você usar a SES configuração da Amazon para lidar com a entrega de e-mails, deverá Conta da AWS retirá-los do sandbox antes que o Amazon Cognito possa enviar e-mails para seus usuários.

No sandbox, a Amazon SES impõe restrições sobre quantos e-mails você pode enviar e para onde enviá-los. Você pode enviar e-mails somente para endereços e domínios que você verificou com a AmazonSES, ou você pode enviá-los para endereços do simulador de SES caixa de correio da Amazon. Enquanto você Conta da AWS permanece na sandbox, não use sua SES configuração da Amazon para aplicativos que estão em produção. Nessa situação, o Amazon Cognito não consegue enviar mensagens para os endereços de e-mail de seus usuários.

Para removê-lo Conta da AWS da sandbox, consulte Como sair da SES sandbox da Amazon no Guia do desenvolvedor do Amazon Simple Email Service.

Etapa 3: conceder permissões de e-mail ao Amazon Cognito

Talvez você precise conceder permissões específicas ao Amazon Cognito para que ele possa enviar e-mails aos usuários. As permissões que você concede e o processo que você usa para concedê-las dependem se você está usando a configuração de e-mail padrão ou a SES configuração da Amazon.

Conclua esta etapa somente se você configurar seu grupo de usuários para Enviar e-mail com o Cognito ou definido comoEmailSendingAccount. COGNITO_DEFAULT

Com a configuração de e-mail padrão, seu grupo de usuários pode enviar mensagens de e-mail com qualquer um dos seguintes endereços.

  • O endereço padrãono-reply@verificationemail.com.

  • Um FROM endereço personalizado de seus endereços de e-mail ou domínios verificados na AmazonSES.

Se você usar um endereço personalizado, o Amazon Cognito precisará de permissões adicionais para enviar e-mail aos usuários a partir desse endereço. Essas permissões são concedidas por uma política de autorização de envio para o endereço ou domínio na AmazonSES. Se você usar o console do Amazon Cognito para adicionar um endereço personalizado ao seu grupo de usuários, a política será automaticamente anexada ao endereço de e-mail SES verificado pela Amazon. No entanto, se você configurar seu grupo de usuários fora do console, como usar o AWS CLI ou o Amazon CognitoAPI, deverá anexar a política usando o SESconsole da Amazon ou o. PutIdentityPolicyAPI

nota

Você só pode configurar um FROM endereço em um domínio verificado usando o AWS CLI ou o Amazon CognitoAPI.

Uma política de autorização de envio permite ou nega o acesso com base nos recursos da conta que estão usando o Amazon Cognito para invocar a Amazon. SES Para obter mais informações sobre políticas baseadas em recursos, consulte o Guia do IAMusuário. Você também pode encontrar exemplos de políticas baseadas em recursos no Amazon SES Developer Guide.

exemplo Política de autorização de envio

O exemplo a seguir da política de autorização de envio concede ao Amazon Cognito uma capacidade limitada de usar uma identidade SES verificada pela Amazon. O Amazon Cognito só pode enviar mensagens de e-mail quando o fizer em nome do grupo de usuários na condição aws:SourceArn e da conta na condição aws:SourceAccount.

Regions with Amazon SES

Sua política de autorização de envio na região do grupo de usuários ou na região alternativa deve permitir que o diretor do serviço Amazon Cognito envie mensagens de e-mail. Consulte a tabela Regiões para obter mais informações. Se sua região do grupo de usuários corresponder a pelo menos um valor na SESregião da Amazon, configure sua política de autorização de envio com a entidade de serviço global no exemplo a seguir.

{ "Version": "2012-10-17", "Statement": [ { "Sid": "stmnt1234567891234", "Effect": "Allow", "Principal": { "Service": [ "email.cognito-idp.amazonaws.com" ] }, "Action": [ "SES:SendEmail", "SES:SendRawEmail" ], "Resource": "<your SES identity ARN>", "Condition": { "StringEquals": { "aws:SourceAccount": "<your account number>" }, "ArnLike": { "aws:SourceArn": "<your user pool ARN>" } } } ] }
Opt-in Regions without Amazon SES

A Amazon SES não está disponível em todas as opções em que o Amazon Cognito Regiões da AWS está disponível. Oriente Médio (UAE) é um exemplo e só pode enviar e-mails com identidades verificadas na Europa (Frankfurt) (eu-central-1). Em grupos de usuários com a configuração de e-mail padrão, o Amazon Cognito também envia mensagens de e-mail com uma identidade verificada em cada uma das duas regiões. No caso do Oriente Médio (UAE), a região adicional é a Europa (Londres). Você deve atualizar a política de autorização de envio nas duas regiões.

Sua política de autorização de envio em cada uma das regiões alternativas deve permitir que o responsável pelo serviço Amazon Cognito na região de opt-in do grupo de usuários envie mensagens de e-mail. Consulte a tabela Regiões para obter mais informações. Se sua região estiver marcada como Região alternativa, configure suas políticas de autorização de envio com o diretor de serviço regional, como no exemplo a seguir. Substitua o identificador de região de exemplo me-central-1 com o ID de região exigido, conforme necessário.

{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "Service": [ "cognito-idp.me-central-1.amazonaws.com" ] }, "Action": [ "SES:SendEmail", "SES:SendRawEmail" ], "Resource": "<your SES identity ARN>", "Condition": { "StringEquals": { "aws:SourceAccount": "<your account number>" }, "ArnLike": { "aws:SourceArn": "<your user pool ARN>" } } } ] }

Para obter mais informações sobre a sintaxe da política, consulte as políticas de autorização de SES envio da Amazon no Amazon Simple Email Service Developer Guide.

Para obter mais exemplos, consulte exemplos de políticas de autorização de SES envio da Amazon no Amazon Simple Email Service Developer Guide.

Se você configurar seu grupo de usuários para usar sua SES configuração da Amazon, o Amazon Cognito precisará de permissões adicionais para ligar para a Amazon SES em seu nome quando enviar e-mails para seus usuários. Essa autorização é concedida com o IAM serviço.

Quando você configura seu grupo de usuários com essa opção, o Amazon Cognito cria uma função vinculada ao serviço, que é um tipo de IAM função, no seu. Conta da AWS Essa função contém as permissões que permitem ao Amazon Cognito acessar a Amazon SES e enviar e-mails com seu endereço.

O Amazon Cognito cria sua função vinculada ao serviço com as AWS credenciais da sessão do usuário que define a configuração. As IAM permissões dessa sessão devem incluir a iam:CreateServiceLinkedRole ação. Para obter mais informações sobre permissões emIAM, consulte Gerenciamento de acesso para AWS recursos no Guia IAM do usuário.

Para obter mais informações sobre a função vinculada ao serviço criada pelo Amazon Cognito, consulte Como usar funções vinculadas a serviço para o Amazon Cognito.

Etapa 4: configurar o grupo de usuários

Execute as etapas a seguir para configurar o grupo de usuários com qualquer um dos seguintes:

  • Um FROM endereço personalizado que aparece como remetente do e-mail

  • Um endereço REPLY -TO personalizado que recebe as mensagens que seus usuários enviam para seu FROM endereço

  • Sua SES configuração da Amazon

nota

Se sua identidade verificada for um endereço de e-mail, o Amazon Cognito definirá esse endereço de e-mail como o endereço de e-mail FROM e REPLY -TO por padrão. Mas, se sua identidade verificada for um domínio, você deverá fornecer um valor para o endereço de FROM e-mail.

Omita esse procedimento se quiser usar a configuração e o endereço de e-mail padrão do Amazon Cognito.

Configurar o grupo de usuários para usar um endereço de e-mail personalizado
  1. Acesse o console do Amazon Cognito. Se solicitado, insira suas AWS credenciais.

  2. Escolha User Pools (Grupos de usuários).

  3. Escolha um grupo de usuários existente da lista.

  4. Escolha a guia Messaging (Sistema de mensagens), localize Email configuration (Configuração de e-mail), escolha Edit (Editar).

  5. Na página Editar configuração de e-mail, selecione Enviar e-mail da Amazon SES ou Enviar e-mail com o Amazon Cognito. Você pode personalizar a SESregião, o conjunto de configurações e o nome do FROM remetente somente ao escolher Enviar e-mail da Amazon SES.

  6. Para usar um FROM endereço personalizado, conclua as seguintes etapas:

    1. Em SESRegião, escolha a região que contém seu endereço de e-mail verificado.

    2. Em Endereço de FROM e-mail, escolha seu endereço de e-mail. Use um endereço de e-mail que você tenha verificado com a AmazonSES.

    3. (Opcional) Em Conjunto de configurações, escolha um conjunto de configurações para SES a Amazon usar. Criar e salvar essa alteração cria uma função vinculada ao serviço.

    4. (Opcional) Em Endereço FROM do remetente, insira um endereço de e-mail. Você pode fornecer apenas um endereço de e-mail ou um endereço de e-mail e um nome amigável no formato Jane Doe <janedoe@example.com>.

    5. (Opcional) Em Endereço de e-mail REPLY -TO, insira o endereço de e-mail em que você deseja receber as mensagens que seus usuários enviam para seu FROM endereço.

  7. Escolha Salvar alterações.

Related Topics