authorization - 如何在 Cognito 中使用自定义权限

Question

我正在寻找有关如何在 AWS Cognito 中存储自定义权限的建议。

如果我们将用户存储在 Cognito 中并设置例如 2 个组（角色）：

• admin
• read-only

并想为组/角色分配一些权限：

• users/create
• users/delete
• users/read

所以这些在令牌中可用。

是否可以使用 Cognito 进行这样的细粒度授权，或者是否应该以其他方式实现 - 例如在我们查询以获取用户权限而不使用 Cognito 的数据库中？

任何帮助表示赞赏？

Answer 1

使用 Cognito 肯定是可能的。如前所述，您可以创建 2 个组，管理员组和只读组。每个组都有一个与之关联的单独角色，您可以为其分配必要的策略。在此之后创建一个认知身份池并将您的用户池链接到它。在身份验证提供者下，确保选择“从令牌中选择角色”。对于角色解析，您可以选择给它一个默认角色或只是拒绝访问。