Utilisation des groupes d'identités (identités fédérées)

Les pools d'identités Amazon Cognito fournissent des AWS informations d'identification temporaires aux utilisateurs invités (non authentifiés) et aux utilisateurs authentifiés et ayant reçu un jeton. Un groupe d'identités stocke les données d'identité utilisateur spécifiques à votre compte.

Pour créer un groupe d'identités dans la console

1. Connectez-vous à la console Amazon Cognito et sélectionnez Groupes d'identités.

2. Choisissez Créer un groupe d'identités.

3. Dans Configurer l'approbation du groupe d'identités, choisissez de configurer votre réserve d'identités en sélectionnant Accès authentifié, Accès invité ou les deux.

   1. Si vous avez choisi Accès authentifié, sélectionnez un ou plusieurs types d'identité que vous souhaitez définir comme source des identités authentifiées dans votre réserve d'identités. Si vous configurez un fournisseur du développeur personnalisé, vous ne pouvez ni le modifier ni le supprimer après avoir créé votre réserve d'identités.

4. Dans Configurer les autorisations, choisissez un rôle IAM par défaut pour les utilisateurs authentifiés ou invités dans votre réserve d'identités.

   1. Choisissez Créer un nouveau rôle IAM si vous souhaitez qu'Amazon Cognito crée un nouveau rôle pour vous avec des autorisations de base et une relation d'approbation avec votre réserve d'identités. Saisissez le nom du rôle IAM pour identifier votre nouveau rôle, par exemple myidentitypool_authenticatedrole. Sélectionnez Afficher le document de stratégie pour passer en revue les autorisations qu'Amazon Cognito attribuera à votre nouveau rôle IAM.

   2. Vous pouvez choisir d'utiliser un rôle IAM existant si vous avez déjà un rôle Compte AWS que vous souhaitez utiliser dans le vôtre. Vous devez configurer votre politique d'approbation de rôle IAM de manière à inclure cognito-identity.amazonaws.com. Configurez votre politique d'approbation de rôle pour autoriser Amazon Cognito à endosser le rôle uniquement quand il présente une preuve que la demande provient d'un utilisateur authentifié dans votre réserve d'identités spécifique. Pour de plus amples informations, veuillez consulter Autorisations et approbation de rôle.

5. Dans Connect identity providers, entrez les détails des fournisseurs d'identité (IdPs) que vous avez choisis dans Configurer la confiance du pool d'identités. Vous pouvez être invité à fournir des informations sur le client d'application OAuth, à choisir un groupe d'utilisateurs Amazon Cognito, à choisir un fournisseur d'identité IAM ou à saisir un identifiant personnalisé pour un fournisseur de développement.

   1. Choisissez les paramètres de rôle pour chaque fournisseur d'identité. Vous pouvez attribuer aux utilisateurs de ce fournisseur d'identité le rôle par défaut que vous avez configuré lorsque vous avez configuré votre rôle authentifié, ou vous pouvez sélectionner Choisir un rôle avec des règles. Avec un fournisseur d'identité de groupe d'utilisateurs Amazon Cognito, vous pouvez également sélectionner Choisir le rôle avec preferred_role dans les jetons. Pour plus d'informations sur le champ standard cognito:preferred_role, consultez Affectation de valeurs de priorité à des groupes.

      1. Si vous avez choisi Choisir un rôle avec des règles, saisissez la demande source issue de l'authentification de votre utilisateur, l'opérateur avec lequel vous souhaitez comparer ce champ standard, la valeur qui entraînera une correspondance avec ce choix de rôle et le rôle que vous souhaitez attribuer si l'attribution de rôle correspond. Sélectionnez Ajouter un autre pour créer une règle supplémentaire basée sur une condition différente.

      2. Choisissez une résolution de rôle. Lorsque les champs standard de votre utilisateur ne correspondent pas à vos règles, vous pouvez refuser les informations d'identification ou émettre des informations d'identification pour votre rôle authentifié.

   2. Configurez Attributs de contrôle d'accès pour chaque fournisseur d'identité. L'option Attributs de contrôle d'accès mappe les champs standard utilisateur sur les balises de principal qu'Amazon Cognito applique à la session temporaire. Vous pouvez générer des politiques IAM pour filtrer l'accès des utilisateurs en fonction des balises que vous appliquez à leur session.

      1. Pour n'appliquer aucune balise de principal, choisissez Inactif.

      2. Pour appliquer les balises de principal en fonction des champs standard sub et aud, choisissez Utiliser les mappages par défaut.

      3. Pour créer votre propre schéma personnalisé d'attributs pour les balises de principal, choisissez Utiliser des mappages personnalisés. Saisissez ensuite une clé de balise que vous souhaitez obtenir à partir de chaque demande que vous souhaitez représenter dans une balise.

6. Dans Configurer les propriétés, saisissez un nom sous Nom du groupe d'identités.

7. Sous Authentification de base (classique), choisissez si vous souhaitez activer le flux de base. Lorsque le flux de base est actif, vous pouvez ignorer les sélections de rôles que vous avez effectuées pour vous IdPs et appeler AssumeRoleWithWebIdentitydirectement. Pour de plus amples informations, veuillez consulter Flux d'authentification de groupes d'identités (identités fédérées).

8. Sous Balises, choisissez Ajouter une balise si vous souhaitez appliquer des balises à votre réserve d'identités.

9. Dans Vérifier et créer, confirmez les sélections que vous avez effectuées pour votre nouvelle réserve d'identités. Sélectionnez Modifier pour revenir dans l'assistant et modifier des paramètres. Lorsque vous avez terminé, sélectionnez Créer un groupe d'identités.

Rôles IAM d'utilisateur

Un rôle IAM définit les autorisations permettant à vos utilisateurs d'accéder à AWS des ressources, telles queAmazon Cognito Sync. Les utilisateurs de votre application assument les rôles que vous créez. Vous pouvez spécifier différents rôles pour les utilisateurs authentifiés et ceux qui ne le sont pas. Pour plus d'informations sur les rôles IAM, consultez la section Rôles IAM.

Identités authentifiées et non authentifiées

Les groupes d'identités Amazon Cognito prennent en charge les identités authentifiées et non authentifiées. Les identités authentifiées appartiennent aux utilisateurs authentifiés par tout fournisseur d'identité pris en charge. Les identités non authentifiées appartiennent généralement aux utilisateurs invités.

• Pour configurer les identités authentifiées avec un fournisseur de connexion public, consultez la section Fournisseurs d'identité externes aux groupes d'identités.

• Pour configurer votre propre processus d'authentification backend, consultez la section Identités authentifiées par le développeur (réserves d'identités).

Activation ou désactivation de l'accès invité

L'accès invité aux pools d'identités Amazon Cognito (identités non authentifiées) fournit un identifiant et des informations d' AWS identification uniques aux utilisateurs qui ne s'authentifient pas auprès d'un fournisseur d'identité. Si votre application accepte les utilisateurs qui ne se connectent pas, vous pouvez activer l'accès pour les identités non authentifiées. Pour en savoir plus, veuillez consulter la section Démarrage avec les groupes d'identités Amazon Cognito (identités fédérées).

Pour mettre à jour l'accès invité dans une réserve d'identités

1. Choisissez Groupes d'identités dans la console Amazon Cognito. Sélectionnez une réserve d'identités.

2. Choisissez l'onglet Accès utilisateur.

3. Localisez Accès Invité. Dans une réserve d'identités qui ne prend actuellement pas en charge l'accès invité, Statut a pour valeur Inactif.

   1. Si Accès invité a pour valeur Actif et que vous souhaitez désactiver l'accès invité, sélectionnez Désactiver.

   2. Si Accès Invité a pour valeur Inactif et que vous souhaitez activer l'accès invité, sélectionnez Modifier.

      1. Choisissez un rôle IAM par défaut pour les utilisateurs invités dans votre réserve d'identités.

         1. Choisissez Créer un nouveau rôle IAM si vous souhaitez qu'Amazon Cognito crée un nouveau rôle pour vous avec des autorisations de base et une relation d'approbation avec votre réserve d'identités. Saisissez le nom du rôle IAM pour identifier votre nouveau rôle, par exemple myidentitypool_authenticatedrole. Sélectionnez Afficher le document de stratégie pour passer en revue les autorisations qu'Amazon Cognito attribuera à votre nouveau rôle IAM.

         2. Vous pouvez choisir d'utiliser un rôle IAM existant si vous avez déjà un rôle Compte AWS que vous souhaitez utiliser dans le vôtre. Vous devez configurer votre politique d'approbation de rôle IAM de manière à inclure cognito-identity.amazonaws.com. Configurez votre politique d'approbation de rôle pour autoriser Amazon Cognito à endosser le rôle uniquement quand il présente une preuve que la demande provient d'un utilisateur authentifié dans votre réserve d'identités spécifique. Pour de plus amples informations, veuillez consulter Autorisations et approbation de rôle.

         3. Sélectionnez Enregistrer les modifications.

         4. Pour activer l'accès invité, sélectionnez Activer dans l'onglet Accès utilisateur.

Modification du rôle associé à un type d'identité

Chaque identité de votre groupe est authentifiée ou non authentifiée. Les identités authentifiées appartiennent aux utilisateurs authentifiés par un fournisseur de connexion public (groupes d'utilisateurs Amazon Cognito, Login with Amazon, Se connecter avec Apple, Facebook, Google, SAML ou fournisseurs OpenID Connect) ou par un fournisseur de développement (votre propre processus d'authentification backend). Les identités non authentifiées appartiennent généralement aux utilisateurs invités.

Un rôle est attribué à chaque type d'identité. Ce rôle est associé à une politique qui indique à Services AWS qui il peut accéder. Quand Amazon Cognito reçoit une requête, le service détermine le type d'identité, identifie le rôle qui lui est assigné et utilise la politique associée à ce rôle pour répondre. En modifiant une politique ou en attribuant un rôle différent à un type d'identité, vous pouvez contrôler le type d'identité auquel Services AWS un type d'identité peut accéder. Pour afficher ou modifier les politiques associées aux rôles de votre groupe d'identités, consultez la console IAM AWS.

Pour modifier le rôle authentifié ou non authentifié par défaut de la réserve d'identités

1. Choisissez Groupes d'identités dans la console Amazon Cognito. Sélectionnez une réserve d'identités.

2. Choisissez l'onglet Accès utilisateur.

3. Localisez Accès invité ou Accès authentifié. Dans une réserve d'identités qui n'est pas actuellement configurée pour ce type d'accès, Statut a pour valeur Inactif. Tâche de sélection Modifier.

4. Choisissez un rôle IAM par défaut pour les utilisateurs invités ou authentifiés dans votre réserve d'identités.

   1. Choisissez Créer un nouveau rôle IAM si vous souhaitez qu'Amazon Cognito crée un nouveau rôle pour vous avec des autorisations de base et une relation d'approbation avec votre réserve d'identités. Saisissez le nom du rôle IAM pour identifier votre nouveau rôle, par exemple myidentitypool_authenticatedrole. Sélectionnez Afficher le document de stratégie pour passer en revue les autorisations qu'Amazon Cognito attribuera à votre nouveau rôle IAM.

   2. Vous pouvez choisir d'utiliser un rôle IAM existant si vous avez déjà un rôle Compte AWS que vous souhaitez utiliser dans le vôtre. Vous devez configurer votre politique d'approbation de rôle IAM de manière à inclure cognito-identity.amazonaws.com. Configurez votre politique d'approbation de rôle pour autoriser Amazon Cognito à endosser le rôle uniquement quand il présente une preuve que la demande provient d'un utilisateur authentifié dans votre réserve d'identités spécifique. Pour de plus amples informations, veuillez consulter Autorisations et approbation de rôle.

5. Sélectionnez Enregistrer les modifications.

Modification des fournisseurs d'identité

Si vous autorisez vos utilisateurs à s'authentifier à l'aide de fournisseurs d'identité grand public (par exemple, les groupes d'utilisateurs Amazon Cognito, Login with Amazon, Se connecter avec Apple, Facebook ou Google), vous pouvez spécifier vos identifiants d'application dans la console des réserves d'identités Amazon Cognito (identités fédérées). Cette approche associe l'ID de l'application (fourni par le fournisseur de connexion public) à votre groupe d'identités.

Vous pouvez également configurer des règles d'authentification pour chaque fournisseur sur cette page. Chaque fournisseur autorisé jusqu'à 25 règles. Ces règles sont appliquées dans l'ordre d'enregistrement pour chaque fournisseur. Pour de plus amples informations, veuillez consulter Utilisation du contrôle d'accès basé sur les rôles.

Avertissement

Le remplacement de l'ID d'application du fournisseur d'identité lié dans votre réserve d'identités empêche les utilisateurs existants de s'authentifier auprès de cette réserve d'identités. Pour de plus amples informations, veuillez consulter Fournisseurs d'identité externes aux groupes d'identités.

Pour mettre à jour un fournisseur d'identité (IdP)

1. Choisissez Groupes d'identités dans la console Amazon Cognito. Sélectionnez une réserve d'identités.

2. Choisissez l'onglet Accès utilisateur.

3. Localisez Fournisseurs d'identité. Choisissez le fournisseur d'identité que vous souhaitez modifier. Si vous souhaitez ajouter un nouveau fournisseur d'identité, sélectionnez Ajouter un fournisseur d'identité.

   1. Si vous avez choisi Ajouter un fournisseur d'identité, choisissez l'un des types d'identité que vous souhaitez ajouter.

4. Pour modifier l'ID d'application, choisissez Modifier dans Informations sur le fournisseur d'identité.

5. Pour modifier le rôle demandé par Amazon Cognito lorsqu'il délivre des informations d'identification aux utilisateurs qui se sont authentifiés auprès de ce fournisseur, choisissez Modifier dans Paramètres de rôle.

   1. Vous pouvez attribuer aux utilisateurs de ce fournisseur d'identité le rôle par défaut que vous avez configuré lorsque vous avez configuré votre rôle authentifié, ou vous pouvez sélectionner Choisir un rôle avec des règles. Avec un fournisseur d'identité de groupe d'utilisateurs Amazon Cognito, vous pouvez également sélectionner Choisir le rôle avec preferred_role dans les jetons. Pour plus d'informations sur le champ standard cognito:preferred_role, consultez Affectation de valeurs de priorité à des groupes.

      1. Si vous avez choisi Choisir un rôle avec des règles, saisissez la demande source issue de l'authentification de votre utilisateur, l'opérateur avec lequel vous souhaitez comparer ce champ standard, la valeur qui entraînera une correspondance avec ce choix de rôle et le rôle que vous souhaitez attribuer si l'attribution de rôle correspond. Sélectionnez Ajouter un autre pour créer une règle supplémentaire basée sur une condition différente.

      2. Choisissez une résolution de rôle. Lorsque les champs standard de votre utilisateur ne correspondent pas à vos règles, vous pouvez refuser les informations d'identification ou émettre des informations d'identification pour votre rôle authentifié.

6. Pour modifier les balises de principal qu'Amazon Cognito attribue lorsqu'il délivre des informations d'identification aux utilisateurs qui se sont authentifiés auprès de ce fournisseur, choisissez Modifier dans Attributs de contrôle d'accès.

   1. Pour n'appliquer aucune balise de principal, choisissez Inactif.

   2. Pour appliquer les balises de principal en fonction des champs standard sub et aud, choisissez Utiliser les mappages par défaut.

   3. Pour créer votre propre schéma personnalisé d'attributs pour les balises de principal, choisissez Utiliser des mappages personnalisés. Saisissez ensuite une clé de balise que vous souhaitez obtenir à partir de chaque demande que vous souhaitez représenter dans une balise.

7. Sélectionnez Enregistrer les modifications.

Supprimer un groupe d’identités

Vous ne pouvez pas annuler la suppression d'une réserve d'identités. Une fois que vous avez supprimé une réserve d'identités, toutes les applications et tous les utilisateurs qui en dépendent cessent de fonctionner.

Pour supprimer un groupe d'identités

1. Choisissez Groupes d'identités dans la console Amazon Cognito. Activez la case d'option en regard de la réserve d'identités que vous souhaitez supprimer.

2. Sélectionnez Delete (Supprimer).

3. Saisissez ou collez le nom de votre réserve d'identités et sélectionnez Supprimer.

Avertissement

Lorsque vous sélectionnez le bouton Delete (Supprimer), vous supprimez définitivement votre groupe d'identités et toutes les données utilisateur qu'il contient. La suppression d'une réserve d'identités entraîne l'arrêt du fonctionnement des applications et des autres services qui utilisaient cette réserve d'identités.

Supprimer une identité d'un groupe d'identités

Lorsque vous supprimez une identité d'une réserve d'identités, vous supprimez les informations d'identification qu'Amazon Cognito a stockées pour cet utilisateur fédéré. Lorsque votre utilisateur demande à nouveau des informations d'identification, il reçoit un nouvel ID d'identité si votre réserve d'identités fait toujours confiance à son fournisseur d'identité. Vous ne pouvez pas annuler cette opération.

Pour supprimer une identité

1. Choisissez Groupes d'identités dans la console Amazon Cognito. Sélectionnez une réserve d'identités.

2. Choisissez l'onglet Navigateur d'identité.

3. Cochez les cases en regard des identités que vous souhaitez supprimer et choisissez Supprimer. Confirmez que vous voulez supprimer ces identités et choisissez Supprimer.