给定用户的身份 id，如何从 cognito 用户池中获取用户的详细信息？

Question

• 用户将图像上传到他/她在 S3 上的子文件夹。可以通过策略强制执行此操作的唯一方法是使用身份 ID：

  arn:aws:s3:::thebucket/${cognito-identity.amazonaws.com:sub}/avatar.jpg
  

• 一个转换该图像的 lambda，被触发，并将转换保存到不同的 S3。

• 但是现在，随着身份 id 的处置，该 lambda 需要使用对头像转换的引用来更新用户的数据库记录。这就是问题显而易见的地方，我只有身份 ID，我需要从中获取 cognito 用户的详细信息，这样我就可以在我的用户表中查找用户，其中 user:sub 作为标识符。

如何将这两者关联起来？ cognito 中是否有一个 api 可以根据身份 id 给我sub？

有没有更合理的方法？

Answer 1

我还没有找到方法来做到这一点。此外，如果您使用 Mobile SDK，您应该只获取传递给 Lambda 的 Cognito 身份 ID，您可以使用“context.identity.cognitoIdentityId”访问它。尽管one user 用户至少似乎通过使其与 Javascript 一起工作来挑战 AWS 文档集。

看起来你在你的 s3 对象键中使用 sub，所以你有没有想过把它放在那里？您会在事件中获得有关 s3 对象的大量信息，包括密钥，在您的情况下包括您的子对象。

您的 S3 事件应如下所示

{  
   "Records":[  
      {  
         "eventVersion":"2.0",
         "eventSource":"aws:s3",
         "awsRegion":"us-east-1",
         "eventTime":"1970-01-01T00:00:00.000Z",
         "eventName":"ObjectCreated:Put",
         "userIdentity":{  
            "principalId":"AIDAJDPLRKLG7UEXAMPLE"
         },
         "requestParameters":{  
            "sourceIPAddress":"127.0.0.1"
         },
         "responseElements":{  
            "x-amz-request-id":"C3D13FE58DE4C810",
            "x-amz-id-2":"FMyUVURIY8/IgAtTv8xRjskZQpcIZ9KG4V5Wp6S7S/JRWeUWerMUE5JgHvANOjpD"
         },
         "s3":{  
            "s3SchemaVersion":"1.0",
            "configurationId":"testConfigRule",
            "bucket":{  
               "name":"mybucket",
               "ownerIdentity":{  
                  "principalId":"A3NL1KOZZKExample"
               },
               "arn":"arn:aws:s3:::mybucket"
            },
            "object":{  
               "key":"HappyFace.jpg",
               "size":1024,
               "eTag":"d41d8cd98f00b204e9800998ecf8427e",
               "versionId":"096fKKXTRTtl3on89fVO.nfljtsv6qko",
               "sequencer":"0055AED6DCD90281E5"
            }
         }
      }
   ]
}

您可以解析 S3 对象键，其中应该包含您的子对象。

编辑：在分享了一些 cmets 之后，我认为你的情况是这样的：

• 您有一个使用外部身份（例如 google）登录的用户
• 此用户还有一个用户池身份
• 身份尚未使用admin-link-provider-for-user 链接
• 您想在某些操作后从外部身份查找用户池身份

我假设链接这些帐户的东西是电子邮件地址？一种选择是在注册时链接帐户，使用 cognito 预注册触发器和 admin-link-provider-for-user 功能。

您可以做的另一件事是获取当前（外部提供的）身份电子邮件，然后根据该电子邮件执行ListUsers。你会得到一个UserType 的列表，然后选择提供者是 Cognito 的那个，它应该会给你你想要的子。

那是你所追求的吗？

编辑：我们在 cmets 中讨论的另一个想法是直接从您的应用程序调用您的 Lambda 函数，而不是依赖于 S3 事件。这种方法的好处是您可以在调用中包含您喜欢的任何信息，例如正确的用户子。