amazon-web-services - 具有 Dynamodb 细粒度访问权限的 IAM 策略条件中的 Cognito 用户池自定义属性

Question

我有一个带有自定义属性组织 id 的 Cognito 用户池。
一个组织可能有多个用户。可以有多个组织。
另一个 Dynamodb 表用于维护以 _id 和 organization_id 作为分区键的 Categories。
类别可以归组织所有，以便属于该特定组织的用户仅在这些类别中执行某些操作。

现在，我如何创建 IAM 策略，以便它采用 organization_id 而不是 sub/user_id，如此处所述
http://docs.aws.amazon.com/amazondynamodb/latest/developerguide/specifying-conditions.html

{
"Version": "2012-10-17",
"Statement": [
    {
        "Sid": "AllowAccessToOnlyItemsMatchingUserID",
        "Effect": "Allow",
        "Action": [
            "dynamodb:GetItem",
            "dynamodb:BatchGetItem",
            "dynamodb:Query",
            "dynamodb:PutItem",
            "dynamodb:UpdateItem",
            "dynamodb:DeleteItem",
            "dynamodb:BatchWriteItem"
        ],
        "Resource": [
            "arn:aws:dynamodb:us-west-2:123456789012:table/GameScores"
        ],
        "Condition": {
            "ForAllValues:StringEquals": {
                "dynamodb:LeadingKeys": [
                    "${cognito:organisation_id(?)}"

                ],
                "dynamodb:Attributes": [
                    "UserId",
                    "GameTitle",
                    "Wins",
                    "Losses",
                    "TopScore",
                    "TopScoreDateTime"
                ]
            },
            "StringEqualsIfExists": {
                "dynamodb:Select": "SPECIFIC_ATTRIBUTES"
            }
        }
    }
]}

所以我的主要需求是通过 cognito 在 IAM 策略中获取自定义用户池属性。这怎么可能？

Answer 1

这不可能。它需要 IAM 角色能够从任何认知用户池中识别自定义属性。不过，这是一个有趣的功能，将与团队讨论。

但是，作为替代方案，您可以查看 Cognito 身份和角色基础访问控制

http://docs.aws.amazon.com/cognito/latest/developerguide/role-based-access-control.html