Aws在一个GraphQL API中使用多个Cognito用户池进行放大

Question

我是AWS放大器的新成员，我正在尝试制作简单的项目。

我有两个不同的前端（react）项目。其中一个是博客读者，另一个是编辑。对于这两个应用程序，我希望使用相同的DynamoDB表（并使用graphqlapi）。但是我想为每个项目使用不同的用户池。我如何实现这一点？

我在读这篇文章-https://medium.com/@fullstackpho/aws-amplify-multi-auth-graphql-public-read-and-authenticated-create-update-delete-1bf5443b0ad1

我知道AWS AppSync支持多种授权类型，如认知、应用编程接口密钥...但是它支持两种认知类型吗？

谢谢

Answer 1

根据AWS文档，您可以使用两个不同的Cognito组访问相同的AppSync API，通过以下方式访问相同的DynamoDB表，这些方式非常简单；

如果使用aws_auth指令

type Query {
  getPosts:[Post!]! 
  @aws_auth(cognito_groups: ["Bloggers", "Readers"])
}

如果使用aws_cognito_user_pools指令

type Query {
  getPosts:[Post!]!
  @aws_api_key @aws_cognito_user_pools(cognito_groups: ["Bloggers", "Readers"])
}

现在，如果您特别希望为同一个API和DynamoDB表使用两个不同的用户池，那么您需要多做一点工作来实现这一点。以下是步骤：

1. 在AppSync设置中将两个用户池添加为其他授权提供程序
2. 使用@aws\u cognito\u user\u pools指令处理模式中的查询和变异以及这些查询和变异试图访问的对象
3. 这是一个棘手的问题！当您尝试访问$ctx时。身份cognitoIdentityPoolId在查询/变异解析器中，它将抛出null。因为cognitoIdentityPoolId仅包括在AWS_IAM授权头中，而不包括在AWS_COGNITO_用户池中。但是，您仍然可以从$ctx中的iss字段获取用户池ID。身份声明，它看起来像https://cognito-idp.us-xxxx-x.amazonaws.com/us-xxxx-X_XxxXxxXX。这us-xxxx-X_XxxXxxXX是您的用户池ID，您必须以某种方式对其进行解析
4. 解析用户池ID后，您可以根据Cognoto池ID筛选用户，然后授予他们对所需表的访问权