aws-cli - 如何通过 cli 或 sdk 设置 Cognito 用户池应用程序客户端允许的自定义范围？

Question

TL;DR:有没有办法通过 cli 或 sdk 设置应用程序客户端自定义范围？

我正在尝试使用 CloudFormation 自动化我的 Cognito 部署。我已经制作了一些自定义资源，因为并非所有内容都受支持。为此，我使用 AWS JS SDK。我想为特定用户池中的应用程序客户端设置“允许的自定义范围”。但是，我无法在 AWS 提供的任何文档中找到如何执行此操作。 CLI 文档仅在此处的文档中说明了这一点 Cognito-user-identity docs :

AllowedOAuthScopes
A list of allowed OAuth scopes. Currently supported values are "phone", "email", "openid", and "Cognito".

提到的范围是用户池中始终可用的默认范围。但我也使用我定义的自定义资源服务器提供的自定义范围。这些看起来像:resourceServer.com/scope。我找不到任何有关设置这些范围的文档。

那么，有没有办法通过 cli 或 sdk 设置自定义范围？

Answer 1

AllowedOAuthScopes 字段支持自定义范围。

文档:https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_CreateUserPoolClient.html#CognitoUserPools-CreateUserPoolClient-request-AllowedOAuthScopes

通过 CLI 更新用户池客户端:https://docs.aws.amazon.com/cli/latest/reference/cognito-idp/update-user-pool-client.html(查看--allowed-o-auth-scopes选项)

请参阅下面的示例云信息

UserPoolResourceServer:
    Type: AWS::Cognito::UserPoolResourceServer
    Properties: 
        Identifier: users
        Name: User API
        UserPoolId: !Ref UserPool
        Scopes: 
            - ScopeName: "write"
              ScopeDescription: "Write access"
            - ScopeName: "read"
              ScopeDescription: "Read access"

UserPoolClientAdmin:
    Type: "AWS::Cognito::UserPoolClient"
    Properties:
        AllowedOAuthFlows: 
            - client_credentials
        AllowedOAuthFlowsUserPoolClient: true
        AllowedOAuthScopes: 
            - users/read
            - users/write