AWS Cognito - IAM - 拒绝对公共/未授权用户的所有访问 - 联合

Question

我有一个 Web 应用程序，使用 cognito 连接到后端，所有这些都在 aws 服务中。有一个公共 api 方法 (Lambda)，它调用 cognito 进行身份验证并从后端返回会话令牌等，问题是任何人都可以直接从 web 访问 cognito api（连接到 aws api直接），我不希望这样......我如何定义一个策略，以便不授予用户对 cognito 的公共访问权限？

当然是知道我的用户池/认知 id 的用户

TIA

Answer 1

可能有几种方法可以解决这个问题。以下是我想到的三个想法。

• Cognito 联合身份将两个角色链接到您的身份池，一个用于未经身份验证的用户，一个用于经过身份验证的用户。您可以不授予 unauth 角色任何权限，只允许人们在使用某些提供商（例如 Facebook）登录后才能访问它。
• 您可以将 Lambda 放在 API Gateway 后面，然后使用联合身份保护对它的访问（使用上述策略）。
• 最后，您还可以使用 Cognito 用户池对 API Gateway 进行身份验证。 API Gateway 与用户池紧密集成，因此您只需登录并提供返回的登录令牌之一进行身份验证。