AWS Cognito 身份池：AWS 凭证过期/续订

Question

我正在构建一个由 AWS 支持的站点，从广义上讲，它执行以下操作：

1. 根据 Cognito 用户池（该池由第三方 SAML 提供商支持）对用户进行身份验证，并为其提供令牌。
2. 使用 Cognito 身份池授予用户凭据以用于其他服务。
3. 允许用户使用上面的凭据直接从前端 S3 客户端执行一系列长时间运行的 S3 上传。

我试图弄清我必须与令牌和凭据进行的交互。我很清楚我与the tokens I get from the user pool 有什么关系：

1. 我可以使用它们来调用身份池，并获取可用于 S3 的 AWS 凭证。
2. 如果其他令牌在我完成之前过期，我可以使用刷新令牌来刷新它们。

这些令牌的到期详细信息在上面的链接中。文档对上述所有内容都很清楚，但我对身份池凭据功能感到困惑，并且无法在文档中找到有关以下问题的解释：

1. 当我从我的身份池中获得 AWS 凭证时，它们会在过期前持续多久？如何配置此值，以便我的 CognitoIdentityCredentials 为我提供具有所需到期时间的凭据？
2. 如果我的 AWS 凭证在我完成工作之前过期，那么尝试 1. 刷新凭证和 2. 如果失败，刷新用户池令牌，以便能够完成操作干净利落，无需让用户重新启动？

Answer 1

用户池仅用于用户管理。用户与 AWS 服务和资源的任何交互都是通过身份池完成的。您通过身份池分配角色。 回答您的 2 个具体问题：

1. 令牌持续 1 小时。此持续时间是固定的，无法更改。
2. 如果您的令牌过期，您可以使用刷新令牌来生成新的身份和访问令牌。但是，大多数前端 sdk（甚至是 javascript）都会自动为您执行此操作。您不必担心令牌过期。事实上，如果你有这个要求，你将不得不强制使它们无效。