Boto3 - 在不使用访问密钥的情况下使用 Amazon Cognito 进行身份验证

Question

我正在开发一个 python 脚本，它与使用 Amazon Cognito（我不熟悉）作为身份验证后端的 Web 服务交互，但我在登录时遇到了困难。

我的主要问题是 boto3 需要 AWS 访问密钥和秘密密钥（不提供那些我得到“NoCredentialsError”），但由于这个脚本将驻留在多台不受信任的计算机上，我不想存储/嵌入那些密钥，出于明显的安全原因。

这些不受信任的计算机可以访问的信息是：

• 登录网络服务的用户名和密码
• Cognito 身份池 ID
• Cognito 用户池 ID
• Cognito 客户端 ID

根据这些客户端所拥有的信息，是否可以通过 Cognito 正确进行身份验证？如果有，怎么做？

Answer 1

是的。致电get_credentials_for_identity()。它不需要任何凭据。如下使用：

import boto3
cognito = boto3.client('cognito-identity')
response = cognito.get_credentials_for_identity(IdentityId="id")

其中"id" 是 Cognito 身份池 ID。 response 应该返回一个 dict，包括临时访问密钥、秘密访问密钥、会话令牌和到期日期。