如何使用boto3从AWS Cognito获取经过身份验证的身份响应

Question

我想使用boto3获取访问AWS服务的临时凭据。用例是这样的：我的Cognito用户池中的一个用户登录到我的服务器，我希望服务器代码为该用户提供访问其他AWS服务的临时凭据。

我有一个Cognito用户池，其中存储了我的用户。我有一个Cognito标识池，它不允许未经授权的访问，只允许来自Cognito用户池的用户访问。

下面是我开始的代码：

import boto3
client = boto3.client('cognito-identity','us-west-2')
resp = client.get_id(AccountId='<ACCNTID>',
                     IdentityPoolId='<IDPOOLID>')

但是，仅运行这三行代码就会引发异常：

botocore.errorfactory.NotAuthorizedException: An error 
occurred (NotAuthorizedException) when calling 
the GetId operation: Unauthenticated access is not 
supported for this identity pool.

由于我的Cognito身份池没有设置为未经身份验证的访问，似乎我不能调用get_id，直到我以某种方式在某个地方进行身份验证。

我如何解决这个问题？我需要做些什么来进行身份验证，以便调用get_id？

更新：看起来我需要将Logins字段和数据传递给get_id函数调用，但要做到这一点，我需要login JWT令牌。如果我在使用AWS Cognito预打包登录屏幕的webapp（如Django后端）中运行此功能，则可以在成功登录重定向后从主页URL获得此功能。但现在我正在编写一些与网站无关的测试脚本。有没有一种方法可以使用boto或boto3或其他python包使用用户名和密码登录并获取JWT令牌？

Answer 1

要传递Cognito用户池JWT令牌，您需要在GetId API调用中使用Logins Map。在替换必要的占位符后，您可以在您的终端上尝试以下Python代码。

response = client.get_id(
    AccountId='string',
    IdentityPoolId='string',
    Logins={
        'cognito-idp.<region>.amazonaws.com/<YOUR_USER_POOL_ID>': '<JWT ID Token>'
    }
)

如果您不提供登录地图，Amazon Cognito将身份验证事件视为未经身份验证，因此，您将面临此错误。

Answer 2

只是为了补充上面Arka Mukherjee的答案，为了得到令牌，我这样做：

auth_data = { 'USERNAME':username , 'PASSWORD':password }
provider_client=boto3.client('cognito-idp', region_name=region)
resp = provider_client.admin_initiate_auth(UserPoolId=user_pool_id, AuthFlow='ADMIN_NO_SRP_AUTH', AuthParameters=auth_data, ClientId=client_id)
token = resp['AuthenticationResult']['IdToken']

这里我必须使用Cognito用户的用户名和密码，client_id是我通过Cognito设置的应用程序客户端的应用程序客户端id，user_pool_id是用户池id。

请注意，我的应用程序客户端选中了此选项：为基于服务器的身份验证启用登录API（ADMIN_NO_SRP_AUTH），我创建的应用程序客户端没有密钥（显然这对web客户端尤其重要）。