基于cognito令牌的apigw认证/授权设计

Question

我真的很难找到一个AWS设计，让我：

• 使用REST（不使用AWS sdk库）向cognito验证实体。
• cognito的RESTAPI需要识别实体并根据实体返回结果。例如，像“getOrders”这样的api将返回与已登录的实体关联的订单

经评估的解决方案：

>

具有作用域的oAuth身份验证无法解决此场景。实体必须使用appclientId和secret进行身份验证，因此不清楚如何区分实体（为所有可以登录的实体创建appclient对我来说没有意义）。实际上，这里所有实体都可以调用相同的api，但结果取决于标识本身，而不是范围。然而，通过这种设计，很清楚如何使用RESTAPI获取令牌。

使用与实体关联的用户名和密码对cognito进行身份验证。这样，就可以在apigw上识别enity，并按预期返回结果。在这个场景中，不清楚如何使用RESTAPI（而不是使用aws的sdk）获取令牌。我发现了这篇文章：登录AmazonCognito用户池的REST（或CLI）API是什么

我是否错过了其他最佳选择？在我看来，这是一个非常常见的情况，但我找不到一个像样的解决方案。您能告诉我应该使用哪种身份验证机制吗。

提前谢谢你，马可

Answer 1

Cognito公开了标准HTTPSendpoint，允许您绕过AWSAPI执行登录和令牌交换代码。它是托管UI的一部分。所有请求都将针对托管的UI域执行。有六个可用的endpoint：

>

/log这是您触发Singing in的地方。您的用户将最终出现在您的托管UI页面（留档）。

关闭托管UI端的会话（留档）。

用于获取JWT令牌，通常在Web浏览器中（留档）。

/oauth2/token与上述类似，但仅用于后端（文档）。

用于获取有关已验证用户（留档）的信息。

用于使提供的令牌（留档）无效。

通过上述endpoint，您可以实现整个登录 /sign流，而无需使用AWS API。