Punto de conexión de UserInfo

El punto de conexión userInfo es un punto de conexión userInfo de OpenID Connect (OIDC). Responde con atributos de usuario cuando los proveedores de servicios presentan tokens de acceso que su Punto de conexión de token ha emitido. Los ámbitos del token de acceso de su usuario definen los atributos de usuario que el punto de conexión userInfo devuelve en su respuesta. El ámbito openid debe ser una de las notificaciones del token de acceso.

Amazon Cognito emite tokens de acceso en respuesta a solicitudes de la API de grupos de usuarios como InitiateAuth. Como no contienen ningún ámbito, el punto de conexión userInfo no acepta estos tokens de acceso. En su lugar, debe presentar los tokens de acceso desde el punto de conexión del token.

Su proveedor de identidades (IdP) externo de OAuth 2.0 también aloja un punto de conexión userInfo. Cuando el usuario se autentica con ese IdP, Amazon Cognito intercambia silenciosamente un código de autorización con el punto de enlace del IdP. token Su grupo de usuarios pasa el token de acceso del IdP para autorizar la recuperación de la información del usuario desde el punto final del IdP. userInfo

GET /oauth2/userInfo

Su aplicación hace peticiones a este punto de conexión directamente y no a través de un navegador.

Para obtener más información, consulte el tema sobre el punto de conexión UserInfo en la especificación OpenID Connect (OIDC).

Parámetros de la solicitud en el encabezado

Authorization: Bearer <access_token>

Pase el token de acceso al campo del encabezado de autorización.

Obligatorio.

Ejemplo: solicitud

GET /oauth2/userInfo HTTP/1.1
Content-Type: application/x-amz-json-1.1
Authorization: Bearer eyJra12345EXAMPLE
User-Agent: [User agent]
Accept: */*
Host: auth.example.com
Accept-Encoding: gzip, deflate, br
Connection: keep-alive

Ejemplo: respuesta positiva

HTTP/1.1 200 OK
Content-Type: application/json;charset=UTF-8
Content-Length: [Integer]
Date: [Timestamp]
x-amz-cognito-request-id: [UUID]
X-Content-Type-Options: nosniff
X-XSS-Protection: 1; mode=block
Cache-Control: no-cache, no-store, max-age=0, must-revalidate
Pragma: no-cache
Expires: 0
Strict-Transport-Security: max-age=31536000 ; includeSubDomains
X-Frame-Options: DENY
Server: Server
Connection: keep-alive
{
    "sub": "[UUID]",
    "email_verified": "true",
    "custom:mycustom1": "CustomValue",
    "phone_number_verified": "true",
    "phone_number": "[phone]",
    "email": "[e-mail]",
    "username": "bob"
}

Para obtener una lista de las notificaciones OIDC, consulte el tema sobre notificaciones estándar. Actualmente, Amazon Cognito devuelve los valores para email_verified y phone_number_verified como cadenas.

Ejemplo de respuestas negativas

Ejemplo: solicitud incorrecta

HTTP/1.1 400 Bad Request
WWW-Authenticate: error="invalid_request",
error_description="Bad OAuth2 request at UserInfo Endpoint"

invalid_request

A la solicitud le falta un parámetro obligatorio, incluye un valor de parámetro no admitido o está mal formada por algún motivo.

Ejemplo: token incorrecto

HTTP/1.1 401 Unauthorized
WWW-Authenticate: error="invalid_token",
error_description="Access token is expired, disabled, or deleted, or the user has globally signed out."

invalid_token

El token de acceso ha caducado, está revocado, tiene un formato incorrecto o no es válido.