Wählen Sie Ihren Authentifizierungsansatz

Wenn Sie Benutzer mit einem Amazon Cognito Cognito-Benutzerpool authentifizieren, entscheiden Sie, wie das Anmeldeerlebnis dargestellt wird. Die folgenden drei Ansätze unterscheiden sich darin, wie viel von der Benutzeroberfläche Amazon Cognito zur Verfügung stellt, und sie schließen sich nicht gegenseitig aus — Sie können sie kombinieren. Sie authentifizieren sich alle gegenüber demselben Benutzerpool und erzeugen dieselben Token. Der Unterschied besteht darin, wo sich die Anmeldeseiten befinden und wie viel Kontrolle Sie haben.

Verwaltete Anmeldung (Amazon Cognito hostet die Seiten)

Amazon Cognito stellt die Seiten zur Registrierung, Anmeldung, Multi-Faktor-Authentifizierung und zum Zurücksetzen des Passworts von Ihrer Benutzerpool-Domain aus bereit. Sie passen ihr Erscheinungsbild mit dem Branding-Editor an. Wählen Sie diese Option, wenn Sie ein vollständiges, gehostetes Anmeldeerlebnis wünschen, ohne eine Benutzeroberfläche zu erstellen, und wenn Sie möchten, dass die standardbasierten OAuth 2.0- und OpenID Connect-Abläufe für Sie abgewickelt werden. Managed Login ist die aktuelle Version dieser Cognito-hosted Amazon-Seiten. Die frühere klassische Hosted UI ist eine einfachere Alternative der ersten Generation, die Sie immer noch pro App-Client auswählen können. Siehe Vom Benutzerpool verwaltete Anmeldung.

API für Benutzerpools (Sie erstellen die Schnittstelle)

Ihre Anwendung sammelt Anmeldeinformationen und ruft die Amazon Cognito Cognito-Benutzerpools-API direkt über ein AWS SDK auf. Sie erstellen und kontrollieren die gesamte Schnittstelle. Wählen Sie diese Option, wenn Sie ein vollständig benutzerdefiniertes Anmeldeerlebnis benötigen oder wenn Sie Benutzer über einen Back-End-Dienst anmelden. Siehe Authentifizierung mit Amazon Cognito Cognito-Benutzerpools.

Third-party Identitätsanbieter (Verbund)

Ihre Benutzer melden sich über einen externen Anbieter an. Dabei kann es sich um einen sozialen Anbieter wie Google oder Apple oder um einen SAML- oder OIDC-Anbieter für Unternehmen handeln. Amazon Cognito verbindet ihre Identität mit Ihrem Benutzerpool. Die föderierte Anmeldung erfolgt über die gehosteten Anmeldeendpunkte der Benutzerpool-Domain — entweder über die verwaltete Anmeldung oder über die Autorisierungs- und Anmeldeendpunkte, zu denen Sie von einer benutzerdefinierten Oberfläche aus weiterleiten. Bei der API-Operation für native Benutzerpools wird ein Benutzer InitiateAuth nicht über einen Verbundanbieter angemeldet. Daher verwendet der Verbund immer die gehosteten Endpunkte und nicht den direkten SDK-Authentifizierungsablauf. Wählen Sie diese Option, wenn Ihre Benutzer bereits über Identitäten an anderer Stelle verfügen. Siehe Benutzerpool-Anmeldung mit externen Identitätsanbietern.

In der folgenden Tabelle wird zusammengefasst, wann Sie für jeden Ansatz greifen sollten.

Vorhaben	Fangen Sie an mit
Schnelles Versenden der Anmeldung ohne Benutzeroberfläche, die erstellt und verwaltet werden muss	Verwaltete Anmeldung
Sie haben die volle Kontrolle über das Aussehen und Verhalten jedes Anmeldebildschirms	Die Benutzer-Pool-API
Authentifizieren Sie Anfragen von einem Back-End- oder Machine-to-Machine-Anrufer	Der Benutzer bündelt die API (und bei M2M die Kundenanmeldedaten)
Erlauben Sie Benutzern, sich mit Google, Apple oder einem Unternehmensverzeichnis anzumelden	Third-party Identitätsanbieter (Federation) über verwaltete Anmeldedaten oder über die gehosteten Autorisierungs- und Anmeldeendpunkte

Anmerkung

Welchen Ansatz Sie auch wählen, der Funktionsplan Ihres Benutzerpools bestimmt, welche Funktionen verfügbar sind. Der Lite-Plan deckt die grundlegende Registrierung und Anmeldung ab, Essentials bietet Optionen wie passwortlose Anmeldung und verwaltete Anmeldung mit Passkey und verwaltete Anmeldung und Plus bietet erweiterten Bedrohungsschutz. Sie wählen einen Tarif aus, wenn Sie einen Benutzerpool erstellen, und können ihn später ändern, sodass Sie sich nicht entscheiden müssen, bevor Sie beginnen. Wenn eine Funktion, die Sie erwarten, nicht verfügbar ist, überprüfen Sie zuerst Ihren Tarif. Einen vollständigen Vergleich finden Sie unterFeature-Pläne für den Benutzerpool.

Anmerkung

Diese Ansätze beantworten alle, wer dieser Benutzer ist. (Authentifizierung). Wenn Sie Benutzern auch temporäre AWS Anmeldeinformationen gewähren müssen, um Dienste wie Amazon S3 zu erreichen, ist dies eine separate Frage — die Autorisierung —, die von Identitätspools beantwortet wird. Siehe Welche Teile von Amazon Cognito benötigen Sie?.