使用 AWS Cognito 进行身份验证和授权
内容提要
AWS Cognito提供了用户身份验证和授权功能。用户池处理身份验证，身份池管理授权和短期IAM凭证。本文演示了使用用户池进行身份验证，并授予已登录用户所需的权限。使用CDK创建Cognito用户池、身份池和Kinesis流。通过Cognito的用户池和身份池，安全地对用户进行身份验证，并授予与Kinesis交互所需的权限。
延伸解读
用户池与身份池的分工
文章明确区分了Cognito用户池和身份池的职责：用户池负责身份验证，身份池负责授权并发放短期IAM凭证。这种分工意味着，用户登录后获得的ID令牌和访问令牌本身并不直接授予AWS服务权限，而是需要通过身份池换取临时凭证。理解这一点有助于在设计认证流程时正确划分组件边界，避免混淆令牌与权限的关系。
CDK资源创建与角色配置
示例使用CDK创建用户池、身份池和Kinesis流，并定义了一个由Cognito身份池代入的IAM角色。该角色附加了AmazonKinesisFullAccess托管策略，并通过CfnIdentityPoolRoleAttachment绑定到身份池的已认证角色。这展示了如何将权限授予所有已登录用户，但需注意托管策略范围较宽，实际应用中可能需按最小权限原则自定义策略。
前端集成与令牌获取流程
文章演示了前端通过重定向到Cognito托管登录页进行认证，登录成功后重定向回应用并附带授权码。前端再用授权码调用令牌端点换取访问令牌。这一流程基于OAuth 2.0授权码模式，适合单页应用。但示例中redirectUri为localhost，且未展示clientSecret的使用，实际部署时需根据应用类型调整安全配置。
短期凭证的使用与限制
获取访问令牌后，前端通过AWS.CognitoIdentityCredentials并传入身份池ID和ID令牌来换取短期IAM凭证，进而调用Kinesis。这种方式避免了在客户端硬编码长期密钥，提升了安全性。但需注意，凭证具有时效性，且示例中直接在前端配置区域和身份池ID，生产环境应结合更严格的权限控制和错误处理。
Q&A
AWS Cognito的用户池和身份池有什么区别？
用户池主要处理用户身份验证，而身份池管理用户的授权和短期IAM凭证。
如何使用CDK创建Cognito用户池和身份池？
可以使用CDK创建Cognito用户池、身份池和Kinesis流，具体代码示例可以在相关GitHub链接中找到。
用户登录后如何获取访问令牌？
用户登录后会被重定向回应用程序，附带ID令牌，使用该令牌可以请求访问令牌。
如何为Cognito用户授予Kinesis流的权限？
需要创建一个角色并将其附加到身份池，以授予用户将数据放入Kinesis流的权限。
AWS Cognito如何确保用户身份验证的安全性？
通过用户池和身份池，AWS Cognito安全地对用户进行身份验证，并授予与AWS服务交互所需的权限。
如何在应用程序中集成Cognito的登录功能？
可以通过在应用程序中使用Cognito的登录URL，用户登录后会被重定向并附带ID令牌。
