我可以将特定 Cognito 用户池作为 AWS IAM 策略中的委托人吗？

Question

我想限制对 AWS S3 存储桶的访问，以便只能由通过特定 Cognito 用户池进行身份验证的用户创建新对象。通过查看 AWS 文档，我无法弄清楚如何将用户池指定为策略中的委托人。谁能帮我这个？

如果这是不可能的，那么我会很感激一些指针/指导，这可能会帮助我使用其他一些技术达到预期的结果。谢谢。

Answer 1

我认为用户池不允许您这样做，因为您只能获得经过身份验证的实体的访问令牌。您可能需要创建一个身份池，它允许您的用户池中的用户检索临时 IAM 凭证。在身份池中，您还可以配置这些登录用户使用他们的临时凭证获得的角色。您可以使用这些角色将 S3 存储桶的访问权限限制为只有经过身份验证的用户。

在下面的示例中，您可以看到配置了 Cognito 用户池作为身份验证提供程序的身份池的设置。它将使用顶部配置的默认角色（大红色矩形），或者您可以为 Cognito 身份验证提供程序（小矩形）选择自定义角色。所有角色都可以使用 IAM 进行管理。