AWS Cognito - 帮助了解经过身份验证与未经身份验证的访问

Question

我不明白身份验证。与未经授权的。 AWS Cognito 中的用户访问权限。在学习 Cognito 时，我在 Internet 上看到了几篇文章，并在 Stackoverflow 中发现了与此相关的问题，但我只是没有理解这个概念。

我正在收集一个简单的 unauth 用例。 Cognito 中的用户访问是指我们的用户需要访问一些拥有帐户但未“登录”的 AWS 资源。但这怎么可能？另外要获得访问令牌，您不需要有效的用户名和密码吗？如果通过未经身份验证。我们的意思是拥有有效访问令牌但无法访问某些资源 [基于某些用户池参数] 的用户，我认为这是有道理的，但我不明白 Cognito 在这方面是如何工作的。

在没有掌握这个概念的情况下，我已经搜索了几个小时，如果有人愿意分享，我真的只需要社区的一点帮助。

更新：让我感到困惑的是“unauth”。已经是未登录用户了，不是吗？为什么我必须或想要为未登录的用户获取访问令牌？这样做的目的是什么？

Answer 1

在开始使用 AWS Cognito 时令人困惑的是，它实际上是两种服务。 Cognito 用户池是一个用户存储，验证用户和 Cognito 身份池授权用户。

未授权：

当提到未经身份验证的流程时，您将跳过身份验证过程，实际上只是使用身份池进行授权。要在代码中执行此操作，您需要设置凭据提供程序，然后调用 GetID。这会在身份池中生成一个身份 ID，并检索授权令牌，这些令牌根据 IAM 角色为未经身份验证的用户提供访问权限。 Example here

授权：

现在对于经过身份验证的流程，在您使用身份池进行授权之前，您必须拥有身份验证令牌。这些可以通过第三方（例如 Facebook）或 Cognito 用户池的身份验证来检索。您通过提供用户名/电子邮件和密码来对这些服务进行身份验证。然后可以将这些服务提供的令牌“传递”给凭证提供者。以这种方式完成后，使用身份池进行授权将返回访问令牌，这些令牌根据 IAM 角色为经过身份验证的用户提供访问权限。此外，用户可以“注销”，然后再“重新登录”，他们将能够收到与他们第一次获得身份池授权时为他们生成的相同身份 ID。

我希望一切都有意义。我将举例说明为什么您可以将两者结合起来

示例

假设我们正在构建一个列出我们城市周围活动的网络平台。该平台需要：

• 在数据库中存储事件

• 允许城市组织者将活动添加到数据库中

• 允许居民查看活动

我们不希望居民必须登录才能查看公开列出的事件，因此当他们访问我们网站的事件页面时，他们不知道，他们实际上使用身份池进行授权。因此，他们获得了未经身份验证的 IAM 角色访问权限，以对我们的数据库进行 GET API 调用，以检索事件。

当然，我们不希望任何人向数据库添加事件。所以对于城市组织者来说，有一个登录表格。此登录表单采用用户名和密码来使用用户池对其进行身份验证。然后使用用户池令牌对身份池进行授权，授予他们身份验证 IAM 角色访问权限以对我们的 API 进行 POST 调用，从而允许他们向我们的数据库添加事件。