javascript - 如何使用AWS Cognito对API网关进行身份验证

Question

我在 API Gateway 中开发了 GraphQL API。我希望我的用户能够调用此 api 并在自己的应用程序中使用它。但是数据很敏感，我想使用 Cognito 来验证用户身份。我有几个问题...

1) 由于没有可供他们登录的“应用程序”，用户如何才能接收 token 以便进行身份验证并查询 API？

2) 我相信 token 每小时都会过期。我想这可能会让一些客户的开发人员感到沮丧，我可以向他们提供哪些建议来处理每小时更新的 token ？

3) 阅读完文档后，( this specifically ) - 似乎我需要使用“Amazon Cognito CLI/SDK 或 API 将用户登录到所选用户池，并获取身份 token 或访问 token ......”点击“SDK”会进入 github 存储库。该 github 存储库表示该 SDK 将不再开发，现在是 AWS Amplify。

这里有我遗漏的逻辑漏洞吗？

Answer 1

Amplify 是 AWS 的集成应用程序创建解决方案。因此，您开发 Amplify 应用程序的客户将使用 AWS Amplify Cognito SDK。 Web 应用程序和其他应用程序将使用不同的库或仅发布到您的认知身份验证端点。

无论他们如何到达您的 Cognito 用户池，您需要做的第一件事就是创建您的用户池，并在您的 ApiGateway Api 中创建一个授权者，然后在您希望其使用的 Cognito 中选择用户池。然后在您的资源中选择它以授权该特定资源。

创建用户池后，在用户池内部的左侧菜单上应该有一个“应用程序集成 > 域名”部分。在这里，您可以获取用户池身份验证公共(public)域，或分配自定义域(您必须在 DNS 中设置它并单独将其连接到 SSL 证书)。这是客户端应用程序将调用以获取身份验证 token 的端点。

此过程因您使用的身份验证流程而异。但出于说明目的，以客户端凭据身份验证流程为例，您的客户端应用程序将:

1. 使用 URL 查询字符串参数 grant_type=client_credentials 向 auth 域发布请求，并在 header 中:authorization: Basic < Base64EncodedString of ClientID:ClientSecret > 。这将返回 Cognito 签名的 JWT(JSON Web token )

2. 然后客户端应用程序将使用此 token 来调用您的 api 资源。每当您调用使用此用户池作为授权者的 API 网关资源时，您只需在 Authorization header 中添加有效 token 即可。

确实没有办法解决这个问题，这就是安全模型的工作原理。也许联合身份会更容易，因为许多服务库/中间件会为您处理这个问题(例如 Passport.js)......就像可以选择通过 facebook 登录一样。但这仍然需要多个步骤和调用。

对于 token 过期时间，无法更改过期时间(1小时)。我们所做的是，当我们收到 token 过期响应时，我们会自动调用另一个 token 并重试 API 调用。

这有点乏味，但并不是那么令人沮丧。如果您的最终用户(客户端应用程序开发人员)正在开发更多开箱即用的应用程序/网络应用程序解决方案，并且对此类事物缺乏经验，那么 StackOverflow 就是适合的:)

资源

• https://docs.aws.amazon.com/cognito/latest/developerguide/amazon-cognito-user-pools-authentication-flow.html