如何在给定AWS Cognito访问令牌的情况下获取AWSCredentials

Question

在Android应用程序中，我收到一个JWTaccess_token从超文本传输协议：//

我应该用那个access_token调用什么API来获取一个AWSCre的对象。

我发现的最接近的一个是AssumeRoleAnd WebId，但那是一个STS应用编程接口，我在网上读到的一些内容似乎建议开发人员不要直接使用STS，而是依赖Cognito。

此外，我不希望需要指定角色名称的API。Cognito标识池已经配置为给经过身份验证的用户一个特定的角色。AssumeRoleWithWebIdentity将角色名称作为API的输入。因此，这看起来并不正确。

我已经查看了Cognito标识池API引用，但找不到一个使用access\u令牌并返回AWS凭据的API。

更新：以下使用GetCredentialsForIdentity的答案抛出ResourceNotFoundException表示找不到指定的IdentityId。

string access_token = ...
var jwtAccessToken = System.IdentityModel.Tokens.Jwt.JwtSecurityToken(access_token);

var client = new AmazonCognitoIdentityClient(new AnonymousAWSCredentials(),REGION);

var response = await client.GetCredentialsForIdentityAsync(new GetCredentialsForIdentityRequest
{
    IdentityId=String.Format("{0}:{1}", REGION, jwtAccessToken.id),
    Logins=new Dictionary<string,string> 
    { 
        {String.Format("cognito-idp.{0}.amazonaws.com/{1}", REGION, USER_POOL_ID),
         access_token}
    }
});




Answer 1

要获取凭据，可以通过传递JWT令牌使用GetCredentialsForIdentity方法。此方法在AWS Android SDK中的AmazonCongnitoIdentityClient类中实现。

IAM角色应该在Cognito联合身份中定义。通过Cognito不允许移动应用承担除配置的角色以外的任何其他角色，这限制了在内部处理假定角色。此外，您不应该授予此角色IAM权限，允许Android SDK承担不同的角色（除非是超级用户类型的登录用户）。

Answer 2

经过大量调查，我找到了答案。

1-需要一个id_token而不是access_token来验证Cognito，尽管这听起来可能会误导。AWS的留档说，当你需要用户属性（如姓名/电子邮件等）时，你会要求id_token...当你不需要这些信息，只想进行身份验证时，要求access_token是错误的，或者至少是误导。

2-以下是如何使用id令牌获取AWS凭据：

var credentials = CognitoAWSCredentials(<identity pool Id>, region);
credentials.AddLogin(
    "cognito-idp.<region>.amazonaws.com/<user_pool_id>",
    id_token); // the raw token

请注意，您不需要assumerolewithidentitity，也不需要GetCredentialsWithIdentity，甚至不需要amazoncognitionidentityclient。