Über Web-Identitätsverbund
Angenommen, Sie erstellen eine mobile App, die auf AWS-Ressourcen zugreift, z. B. ein Spiel für Mobilgeräte, das Daten zu Spielern und Highscores mithilfe von Amazon S3 und DynamoDB.
Beim Entwickeln einer solchen App senden Sie Anforderungen an AWS-Services, die mit einem AWS-Zugriffsschlüssel signiert sein müssen. Wir empfehlen jedoch ausdrücklich, dauerhafte AWS-Anmeldeinformationen nicht in Apps einzubetten oder für Apps bereitzustellen, die von Benutzern aus einem verschlüsselten oder unverschlüsselten App-Store auf ein Gerät heruntergeladen werden. Erstellen Sie die App stattdessen so, dass temporäre AWS-Sicherheitsanmeldeinformationen bei Bedarf dynamisch über Web-Identitätsverbund angefordert werden. Die temporären Anmeldeinformationen sind einer AWS-Rolle zugeordnet, die nur über die Berechtigungen für die Aufgaben verfügt, die für die mobile App benötigt werden.
Mit Web-Identitätsverbund müssen Sie keinen eigenen Anmeldecode schreiben oder eigene Benutzeridentitäten verwalten. Stattdessen können sich Benutzer Ihrer App über einen bekannten externen Identitätsanbieter (Identity Provider, IdP), z. B. Login with Amazon, Facebook, Google oder einem anderen mit OpenID Connect (OIDC)
Für die meisten Szenarien empfehlen wir die Verwendung von Amazon Cognito
Wenn Sie Amazon Cognito nicht verwenden, müssen Sie Code schreiben, der mit einem Web-Identitätsanbieter wie etwa Facebook interagiert und die AssumeRoleWithWebIdentity-API aufruft, um das Authentifizierungs-Token des Identitätsanbieters gegen temporäre AWS-Sicherheitsanmeldeinformationen auszutauschen. Wenn Sie diesen Ansatz bereits für bestehende Apps verwenden, können Sie dies auch weiterhin tun.
Themen
