amazon-web-services - `aws.cognito.signin.user.admin` 范围在 Amazon Cognito 中是什么意思？

Question

Amazon Cognito 有许多系统保留的范围:

openid

邮箱

电话

简介

aws.cognito.signin.user.admin

但没有记录他们允许访问的内容。

前 3 个是不言自明的。我希望个人资料是指用户个人资料。

我通过反复试验发现我需要 aws.cognito.signin.user.admin使用 Amazon Cognito Get User API call .我原以为这是 profile相反，但是好的，很好。

我关心的是什么 否则 aws.cognito.signin.user.admin可能做。如果我让第 3 方客户请求此范围，我会给他们什么访问权限？

Answer 1

aws.cognito.signin.user.admin scope 允许您访问所有可以单独使用访问 token 访问的用户池 API (full documentation here) .

请注意，这并不意味着用户可以任意访问所有 AWS API(如 IAM 角色可能)，但如果该 API 调用的请求语法包含 "AccessToken": "string" ，然后使用 aws.cognito.signin.user.admin 授予访问 token 将能够调用它。

通常，像这样授权的 Cognito UserPools API(并且只有 Cognito UserPool API)允许您修改自己的 UserPools 配置文件中的某些内容(即不要以 Admin 开头并影响单个配置文件):

通过 API 一目了然，这些操作是 ( https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_Operations.html ):

AssociateSoftwareToken

更改密码

确认设备

删除用户

删除用户属性

忘记设备

获取设备

获取用户

获取用户属性验证码

GlobalSignOut

列出设备

设置用户MFAPreference

设置用户设置

更新设备状态

更新用户属性

验证软件 token

验证用户属性