IAM 策略条件中的 cognito 用户池自定义属性与 Dynamodb 细粒度访问

Question

我有一个带有自定义属性 organization_id 的 Cognito 用户池。 一个组织可能有多个用户。可以有多个组织。 另一个 Dynamodb 表用于维护具有 _id 和 organization_id 作为分区键的类别。 类别可以归组织所有，因此属于该特定组织的用户只能在这些类别中执行某些操作。

现在，我如何创建 IAM 策略，以便它采用组织 ID 而不是 sub/user_id，如此处所述
http://docs.aws.amazon.com/amazondynamodb/latest/developerguide/specifying-conditions.html

{
"Version": "2012-10-17",
"Statement": [
    {
        "Sid": "AllowAccessToOnlyItemsMatchingUserID",
        "Effect": "Allow",
        "Action": [
            "dynamodb:GetItem",
            "dynamodb:BatchGetItem",
            "dynamodb:Query",
            "dynamodb:PutItem",
            "dynamodb:UpdateItem",
            "dynamodb:DeleteItem",
            "dynamodb:BatchWriteItem"
        ],
        "Resource": [
            "arn:aws:dynamodb:us-west-2:123456789012:table/GameScores"
        ],
        "Condition": {
            "ForAllValues:StringEquals": {
                "dynamodb:LeadingKeys": [
                    "${cognito:organisation_id(?)}"

                ],
                "dynamodb:Attributes": [
                    "UserId",
                    "GameTitle",
                    "Wins",
                    "Losses",
                    "TopScore",
                    "TopScoreDateTime"
                ]
            },
            "StringEqualsIfExists": {
                "dynamodb:Select": "SPECIFIC_ATTRIBUTES"
            }
        }
    }
]}

所以我的主要要求是通过 cognito 获取 IAM 策略中的自定义用户池属性。这怎么可能？

Answer 1

这是不可能的。它需要 IAM 角色能够从任何认知用户池中识别自定义属性。不过，这是一个有趣的功能，将与团队讨论。

但是，作为替代方案，您可以查看 Cognito 身份和角色库访问控制

http://docs.aws.amazon.com/cognito/latest/developerguide/role-based-access-control.html

Answer 2

有一些支持，但据我所知，并不完全符合您的需要。

我的用例与你的非常相似，但我仍然找不到解决方案。

但是，在一定程度上支持将池属性用作细粒度授权。阅读https://docs.aws.amazon.com/cognito/latest/developerguide/attributes-for-access-control.html

我已经能够使用 一些 标准 Cognito 使用池属性（例如 given_name 等），但对于我的生活，我无法获得 custom: 属性工作。我还在 AWS 支持论坛上发布了一些问题和 cmets，并且得到了零回复。

也许软糖是使用标准属性之一。然而，这远非理想。