通过 Amazon Cognito 提供个人访问权限

Question

我是一家公司的一员，我们向客户发送传感器，这些传感器将数据发送到特定于该客户的 Amazon S3 存储桶或文件夹。我正在尝试在网络上创建一个门户，他们可以通过 Amazon Cognito 登录并查看他们的数据。我跟随User Authentication and Authorization with AWS Cognito创建了一个与我想要的相当接近的系统。

不过，这并不是我想要的。我希望每个用户都能访问不同的数据，但我不想在每次有人新注册帐户时都创建新的 IAM 角色。我正在想象以下流程：

1. 客户收到传感器（每个传感器都附有传感器 ID）
2. 客户进入在线门户，并在创建帐户时输入传感器的 ID
3. 使用给定的传感器 ID，创建一个新的 IAM 角色，让他们只能访问 S3 上允许他们查看的数据。
4. 每次客户登录时，他们都会代入注册时创建的 IAM 角色。
5. 如果将更多数据添加到他们有权访问的 S3 中的存储桶或文件夹中，他们将能够看到这些数据。

不完全确定如何使这种设置成为现实，因此任何概念上的帮助都会很棒。谢谢！

Answer 1

根据您列出的内容，听起来Amazon S3: Allows Amazon Cognito users to access objects in their bucket 可能有效，因为您的目标是保护 S3 中的数据？

或者，您可以查看Attribute-based access control (ABAC)，但这需要您能够标记从 Cognito 开始的会话，而且我不是 100% 可以做到这一点（就像您可以使用 SAML 联合)。