本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

# 多重租用安全建議
<a name="multi-tenancy-security-recommendations"></a>

 為協助讓您的應用程式更加安全，我們建議：
+ 使用 Amazon Verified Permissions 驗證應用程式中的租用。在您允許應用程式中的使用者請求之前，建置可檢查使用者集區、應用程式用戶端、群組或自訂屬性權利的政策。已使用 Amazon Cognito 使用者集區 AWS 建立 Verified Permissions [身分來源](https://docs.aws.amazon.com/verifiedpermissions/latest/userguide/identity-providers.html)。Verified Permissions 具有多租用戶管理[的其他指引](https://docs.aws.amazon.com/verifiedpermissions/latest/userguide/design-multi-tenancy-considerations.html)。
+ 請務必使用已驗證的電子郵件地址，根據網域比對來授權使用者存取租用戶。不要信任電子郵件地址和電話號碼，除非您的應用程式驗證它們，或者外部 IdP 提供驗證證明。如需設定上述許可的詳細資訊，請參閱[屬性許可和範圍](https://docs.aws.amazon.com/cognito/latest/developerguide/user-pool-settings-attributes.html#user-pool-settings-attribute-                     permissions-and-scopes.html)。
+  針對識別租用戶的使用者設定檔屬性，使用*不可變*或唯讀的自訂屬性。您只能在建立使用者或在使用者集區中註冊的使用者時，設定不可變屬性的值。此外，提供應用程式用戶端對屬性的唯讀存取權。
+ 在租戶的外部 IdP 和應用程式用戶端之間使用 1：1 映射，以防止未經授權的跨租戶存取。已經由外部 IdP 進行身分驗證且具有有效 Amazon Cognito 工作階段 Cookie 的使用者，可以存取信任相同 IdP 的其他租用戶應用程式。
+ 在應用程式中實作符合租用戶和授權邏輯時，請限制使用者使其無法修改授權使用者存取租用戶的條件。此外，如果外部 IdP 正用於聯合身分，請限制租用者身分提供者管理員，使其無法變更使用者存取權限。