如何将认知身份池与API网关集成？

Question

我有一个关于Cognito和API网关集成的问题，我希望你能帮助我。我正在考虑制作一个应用程序，我希望与第三方（Facebook，Twitter...）进行身份验证，所以我放弃了Cognito用户池，然后我有了Cognito身份池，但这是我怀疑增长的地方。

• 如何将其与API网关集成

谢谢你的帮助

Answer 1

如果授权程序设置为AWS_IAM，则可以使用aws-sdk生成对API网关的签名请求。首先获取一些临时凭据，然后创建签名请求。

获取凭据（javascript sdk示例）：

var AWS = require('aws-sdk')

var cognitoidentity = new AWS.CognitoIdentity();

var makeSignedRequest = async function () {
    var params = {
      IdentityId: 'STRING_VALUE', /* required */
      CustomRoleArn: 'STRING_VALUE',
      Logins: {
        '<IdentityProviderName>': 'STRING_VALUE',
        /* '<IdentityProviderName>': ... */
      }
    };
    var credsForIdentity = await cognitoidentity.getCredentialsForIdentity(params).promise()
    var httpRequest = new AWS.HttpRequest("https://<API_GATE_WAY_ENDPOINT", "<region>");
    httpRequest.headers.host = "<API_GATE_WAY_ENDPOINT>"; // Do not specify http or https!!

    AWS.config.credentials = {
        accessKeyId: creds.Credentials.AccessKeyId,
        secretAccessKey: creds.Credentials.SecretKey,
        sessionToken: creds.Credentials.SessionToken
    }
    httpRequest.method = "POST";
    httpRequest.body = JSON.stringify(data)

    var v4signer = new AWS.Signers.V4(httpRequest, "execute-api");
    v4signer.addAuthorization(AWS.config.credentials, AWS.util.date.getDate());

    const rawResponse = await fetch(httpRequest.endpoint.href , {
        method: httpRequest.method,
        headers: httpRequest.headers,
        body: httpRequest.body
    });


}

这个例子并不完美，但它是AWS中签名请求的一个很好的起点。

当然，不要忘记为经过身份验证的身份授予适当的权限，以便他们可以调用API。

Answer 2

如何将其与API网关集成？

• 对于Cognito标识池，将方法上的授权类型设置为AWS_IAM

我应该使用API网关自定义授权器来管理Cognito生成的令牌吗？

• 有了身份池，这是不可能的。您必须使用AWS_IAM授权。您将可以访问后端调用的Cognito ID

如果我不使用自定义授权程序，如何根据用户配置文件（管理员，客户端...）限制对API方法的访问？

• 更熟悉Cognito的人可能会回答得更好，但我相信您只能设置“已验证角色”和“未验证角色”。因此，当用户与外部提供者进行身份验证时，他们将获得“已验证角色”，仅此而已。我不确定标识池中是否支持用户组（管理员、客户端）（用户池中是否支持）

编辑：也许这会有帮助http://www.slideshare.net/AmazonWebServices/securing-serverless-workloads-with-cognito-and-api-gateway-part-i-aws-security-day