amazon-web-services - 在 Lambda 函数中获取 Cognito 用户池组数据

Question

我在 AWS 中使用 Cognito 用户池进行身份验证。当授权用户访问 API 时，我想获取用户所在的 Cognito 用户池组。我尝试过很多方法，比如

{
    "role" : "$context.identity.role",
}

和

{
    "arn": $context.identity.userArn
}

(以上只是我试过的例子)

但是，我以空字符串的形式获取数据。请帮我解决这个问题。

谢谢...

Answer 1

这可以使用 AWS 开发工具包中的 Cognito 身份服务提供商来实现。

您可以从 event.requestContext.identity.cognitoAuthenticationProvider 检索用户子(主题)，如下所示:

let userSub = event.requestContext.identity.cognitoAuthenticationProvider.split('CognitoSignIn:')[1]
let UserPoolId = event.requestContext.identity.cognitoAuthenticationProvider.split(',')[0].split('/')[1]

您可以将其与用户池 ID 一起使用，用户池 ID 也可以从 Cognito 身份服务提供商的 listUsers 函数中的上述值中提取，以检索用户用户名:

let userParams = {
    UserPoolId,
    Filter: 'sub=\"' + userSub + '\"',
    Limit: 1
  }

  try {
    const users = await cognitoISP.listUsers(userParams).promise()
    Username = users.Users[0].Username
  } catch (e) {
    // Handle your error
  }

见: https://docs.aws.amazon.com/AWSJavaScriptSDK/latest/AWS/CognitoIdentityServiceProvider.html#listUsers-property

然后，此用户名和用户池 ID 将与 Cognito 身份服务提供商的 adminListGroupsForUser 函数一起使用，以检索用户所属的组数组:

 try {
    let data = await cognitoISP.adminListGroupsForUser({
      UserPoolId,
      Username
    }).promise()
    groups = data.Groups
  } catch (e) {
    // Handle your error
  }

见: https://docs.aws.amazon.com/AWSJavaScriptSDK/latest/AWS/CognitoIdentityServiceProvider.html#adminListGroupsForUser-property

您的 lambda 函数需要能够访问您的 Cognito 用户池中的以下内容:

- cognito-idp:ListUsers
- cognito-idp:AdminListGroupsForUser

见: https://docs.aws.amazon.com/cli/latest/reference/cognito-idp/index.html