我可以连接到同一域上的 2 层身份验证吗？

Question

我正在构建一个 ERP，并决定将其部署在 AWS 上。我已经用 REACT 编写了前端，用 python Django 编写了后端。它们都是 Docker 化的，我将在 ECS Fargate 和 ECR 上部署 PostgreSQL。所有这些都包含在一个 VPC 中。

我想为每个客户/公司创建 1 个 VPC，他们自己的用户池通过 Django 或 cognito 进行身份验证。我还不确定。

但我想知道我是否可以有一个带有我的域名的登录页面，客户将在其中使用 cognito 池登录，让他们可以访问子域中各自的 VPC。然后在另一个子池上以该 VPC 中的用户身份登录。我不会在同一个域上发生令牌冲突吗？

我认为拥有这 2 层身份验证可以避免客户访问错误数据库的机会。 （例如：在错误池中创建的新用户）

这是我的第一篇文章，虽然我经常使用这个论坛。我希望很清楚。如果您需要更多详细信息，请告诉我

谢谢

更新：看来我正在尝试做一个多租户应用程序。我制作了图表以显示我的目标。每个单独的 VPC 的设置，我几乎完成了，并且知道如何实现它。这是顶部无法环绕我的头。

enter image description here

Answer 1

我认为不应该有“两层认证”。

您应该只使用 Cognito 对用户进行一次身份验证，并为经过身份验证的用户分配一个 IAM 角色。此 IAM 角色和与其关联的策略用于控制用户对不同 AWS 资源的访问。

有几种方法可以实现这一点。其中一些取决于 AWS 服务配额、整体应用程序和服务架构等。

您可能会发现此 AWS 文档很有用：https://docs.aws.amazon.com/cognito/latest/developerguide/multi-tenant-application-best-practices.html

如果您能够提供包含您打算使用的所有 AWS 资源的概念架构图，那么您将获得更详细的答案。