将来自外部提供商的声明转发到 Cognito Identity

Question

我有一个应用程序和 openid 身份服务器。我的应用从身份服务器检索令牌。

我还将身份服务器配置为 AWS Cognito 身份池的外部提供商。

我可以成功检索登录到我的应用程序的用户的 AWS 凭证。

但是，我发现 AWS 凭证受到限制，因为该令牌不包含来自原始登录令牌的任何声明。有什么办法让他们进去吗？

我使用的声明之一是 clientID，我希望能够在 IAM 策略中使用它来限制客户端的 S3 访问。

Answer 1

我还没有找到直接的解决方案，而且似乎缺少功能。

我做的解决方法是：

1. 将 id_token/access_token/refresh_token 映射到自定义认知属性。由于所有映射的属性稍后都可以在您的前端使用，因此您需要限制敏感属性的读取权限。
2. 使用TokenGeneration_HostedAuth lambda 触发器处理此数据。