使用IAM条件，根据cognito user-sub（userId）分配IAM角色

Question

我很难使用Condition元素根据cognito-identity.amazonaws.com：子键为用户分配IAM角色。

当使用AWS Cognito设置标识池时，您可以指定一个通过身份验证的角色，我在其中选择了通过应用程序身份验证的角色。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Federated": "cognito-identity.amazonaws.com"
      },
      "Action": "sts:AssumeRoleWithWebIdentity",
      "Condition": {
        "StringEquals": {
          "cognito-identity.amazonaws.com:aud": "eu-central-1:fa078075-9622-4f0d-8789-700105a9e612"
        },
        "StringNotEquals": {
          "cognito-identity.amazonaws.com:sub": "eu-central-1:555540a6-cd49-44b2-bbd8-02cfa73b3510"
        },
        "ForAnyValue:StringLike": {
          "cognito-identity.amazonaws.com:amr": "authenticated"
        }
      }
    }
  ]
}

app-authenticated_admin

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Federated": "cognito-identity.amazonaws.com"
      },
      "Action": "sts:AssumeRoleWithWebIdentity",
      "Condition": {
        "StringEquals": {
          "cognito-identity.amazonaws.com:aud": "eu-central-1:fa078075-9622-4f0d-8789-700105a9e612",
          "cognito-identity.amazonaws.com:sub": "eu-central-1:555540a6-cd49-44b2-bbd8-02cfa73b3510"
        },
        "ForAnyValue:StringLike": {
          "cognito-identity.amazonaws.com:amr": "authenticated"
        }
      }
    }
  ]
}

问题是，无论谁登录，他总是得到app-authenticated的角色，也是一个具有sub￣555540 a 6-CD49-44b2-bbd8-02 CFA 73 b 3510»（从userPool->users->userdetail->sub)的用户，我希望得到app-authenticated_admin角色。有人期待类似的东西吗？还是我错过了这样一个简单场景的一些基本概念？

Answer 1

在未经身份验证的用户中尝试deny而不是allow。您还尝试过用户池中的用户组。