Utilisation du domaine de préfixe Amazon Cognito pour la connexion gérée

L'expérience par défaut pour la connexion gérée est hébergée sur un domaine AWS propriétaire. Cette approche présente un faible obstacle à l'entrée : choisissez un nom de préfixe et il est actif, mais elle ne possède pas les fonctionnalités dignes de confiance d'un domaine personnalisé. Il n'y a pas de différence de coût entre l'option de domaine Amazon Cognito et l'option de domaine personnalisé. La seule différence réside dans le domaine de l'adresse Web vers laquelle vous dirigez vos utilisateurs. Dans les cas de redirections d'IdP tiers et de flux d'informations d'identification client, le domaine hébergé a peu d'effet visible. Un domaine personnalisé est préférable dans les cas où vos utilisateurs se connectent à l'aide d'une connexion gérée et interagissent avec un domaine d'authentification qui ne correspond pas au domaine de l'application.

Le domaine Amazon Cognito hébergé possède le préfixe de votre choix, mais il est hébergé sur le domaine racine. amazoncognito.com Voici un exemple :

https://cognitoexample.auth.ap-south-1.amazoncognito.com

Tous les domaines de préfixes suivent ce format :prefix. auth. Région AWS code. amazoncognito. com. Les groupes d'utilisateurs de domaines personnalisés peuvent héberger la connexion gérée ou les pages d'interface utilisateur hébergées sur n'importe quel domaine que vous possédez.

Note

Pour renforcer la sécurité de vos applications Amazon Cognito, les domaines parents des points de terminaison du groupe d'utilisateurs sont enregistrés dans la liste des suffixes publics (PSL). La PSL aide les navigateurs Web de vos utilisateurs à comprendre de manière cohérente les points de terminaison de votre groupe d'utilisateurs et les cookies qu'ils installent.

Les domaines parents du groupe d'utilisateurs prennent les formats suivants.

auth.Region.amazoncognito.com
auth-fips.Region.amazoncognito.com

Pour ajouter un client d'application et un domaine de groupe d'utilisateurs avec le AWS Management ConsoleCréation d’un client d’application.

Prérequis

Avant de commencer, vous avez besoin des éléments suivants :

• Un groupe d’utilisateurs avec un client d’appli. Pour de plus amples informations, veuillez consulter Démarrage avec les groupes d'utilisateurs.

Configuration d'un préfixe de domaine Amazon Cognito

Vous pouvez utiliser l'API AWS Management Console ou l'API AWS CLI or pour configurer un domaine de groupe d'utilisateurs.

Amazon Cognito console

Configurer un domaine

1. Accédez au menu Domaine sous Branding.

2. À côté de Domaine, choisissez Actions, puis sélectionnez Créer un domaine Cognito. Si vous avez déjà configuré un domaine de préfixe de groupe d'utilisateurs, choisissez Supprimer le domaine Cognito avant de créer votre nouveau domaine personnalisé.

3. Saisissez un préfixe de domaine disponible à utiliser avec un domaine Amazon Cognito. Pour plus d'informations sur la configuration d'un domaine personnalisé, consultezUtiliser votre propre domaine pour la connexion gérée.

4. Choisissez une version de marque. La version de votre marque s'applique à toutes les pages interactives de ce domaine. Votre groupe d'utilisateurs peut héberger une connexion gérée ou une image de marque d'interface utilisateur hébergée pour tous les clients de l'application.

   Note

   Vous pouvez avoir un domaine personnalisé et un domaine préfixe, mais Amazon Cognito ne sert que le point de terminaison /.well-known/openid-configuration du domaine personnalisé.

5. Sélectionnez Create (Créer).

CLI/API

Utilisez les commandes suivantes pour créer un préfixe de domaine et l'attribuer à votre groupe d'utilisateurs.

Pour configurer un domaine de groupe d'utilisateurs

• AWS CLI: aws cognito-idp create-user-pool-domain

  Exemple : aws cognito-idp create-user-pool-domain --user-pool-id <user_pool_id> --domain <domain_name> --managed-login-version 2

• Fonctionnement de l'API des groupes d'utilisateurs : CreateUserPoolDomain

Pour obtenir des informations sur un domaine

• AWS CLI: aws cognito-idp describe-user-pool-domain

  Exemple : aws cognito-idp describe-user-pool-domain --domain <domain_name>

• Fonctionnement de l'API des groupes d'utilisateurs : DescribeUserPoolDomain

Pour supprimer un domaine

• AWS CLI: aws cognito-idp delete-user-pool-domain

  Exemple : aws cognito-idp delete-user-pool-domain --domain <domain_name>

• Fonctionnement de l'API des groupes d'utilisateurs : DeleteUserPoolDomain

Vérifiez votre page de connexion

• Vérifiez que la page de connexion est disponible à partir du domaine hébergé par Amazon Cognito.

  
  https://<your_domain>/login?response_type=code&client_id=<your_app_client_id>&redirect_uri=<your_callback_url>
  

Votre domaine est affiché sur la page Domain name (Nom de domaine) de la console Amazon Cognito. Votre ID de client d'application et votre URL de rappel s'affichent à la page App client settings (Paramètres de client d'application).