Présentation de la console des pools d'identités

Les pools d'identités Amazon Cognito fournissent des AWS informations d'identification temporaires aux utilisateurs invités (non authentifiés) et aux utilisateurs authentifiés et ayant reçu un jeton. Un pool d'identités est un magasin d'identifiants d'utilisateurs lié à vos fournisseurs d'identité externes.

Pour comprendre les fonctionnalités et les options des pools d'identités, vous pouvez en créer un dans la console Amazon Cognito. Vous pouvez explorer l'effet de différents paramètres sur les flux d'authentification, le contrôle d'accès basé sur les rôles et les attributs, et l'accès des invités. À partir de là, vous pouvez passer aux chapitres suivants de ce guide et ajouter les composants appropriés à votre application afin de pouvoir implémenter l'authentification du pool d'identités.

Créer un groupe d’identités

Pour créer un groupe d'identités dans la console

1. Connectez-vous à la console Amazon Cognito et sélectionnez Groupes d'identités.

2. Choisissez Créer un groupe d'identités.

3. Dans Configurer l'approbation du groupe d'identités, choisissez de configurer votre réserve d'identités en sélectionnant Accès authentifié, Accès invité ou les deux.

   1. Si vous avez choisi Accès authentifié, sélectionnez un ou plusieurs types d'identité que vous souhaitez définir comme source des identités authentifiées dans votre réserve d'identités. Si vous configurez un fournisseur du développeur personnalisé, vous ne pouvez ni le modifier ni le supprimer après avoir créé votre réserve d'identités.

4. Dans Configurer les autorisations, choisissez un IAM rôle par défaut pour les utilisateurs authentifiés ou invités dans votre pool d'identités.

   1. Choisissez de créer un nouveau IAM rôle si vous souhaitez qu'Amazon Cognito vous crée un nouveau rôle avec des autorisations de base et une relation de confiance avec votre pool d'identités. Entrez un nom de IAM rôle pour identifier votre nouveau rôle, par exemplemyidentitypool_authenticatedrole. Sélectionnez Afficher le document de politique pour consulter les autorisations qu'Amazon Cognito attribuera à votre nouveau IAM rôle.

   2. Vous pouvez choisir d'utiliser un IAM rôle existant si vous avez déjà un rôle Compte AWS que vous souhaitez utiliser dans le vôtre. Vous devez configurer votre politique de confiance en matière de IAM rôles de manière à inclurecognito-identity.amazonaws.com. Configurez votre politique d'approbation de rôle pour autoriser Amazon Cognito à endosser le rôle uniquement quand il présente une preuve que la demande provient d'un utilisateur authentifié dans votre réserve d'identités spécifique. Pour de plus amples informations, veuillez consulter Autorisations et approbation de rôle.

5. Dans Connect identity providers, entrez les détails des fournisseurs d'identité (IdPs) que vous avez choisis dans Configurer la confiance du pool d'identités. Il peut vous être demandé de fournir des informations sur le client de OAuth l'application, de choisir un groupe d'utilisateurs Amazon Cognito, de choisir un IAM IdP ou de saisir un identifiant personnalisé pour un fournisseur de développement.

   1. Choisissez les paramètres de rôle pour chaque fournisseur d'identité. Vous pouvez attribuer aux utilisateurs de ce fournisseur d'identité le rôle par défaut que vous avez configuré lorsque vous avez configuré votre rôle authentifié, ou vous pouvez sélectionner Choisir un rôle avec des règles. Avec un fournisseur d'identité de groupe d'utilisateurs Amazon Cognito, vous pouvez également sélectionner Choisir le rôle avec preferred_role dans les jetons. Pour plus d'informations sur le champ standard cognito:preferred_role, consultez Affectation de valeurs de priorité à des groupes.

      1. Si vous avez choisi Choisir un rôle avec des règles, saisissez la demande source issue de l'authentification de votre utilisateur, l'opérateur avec lequel vous souhaitez comparer ce champ standard, la valeur qui entraînera une correspondance avec ce choix de rôle et le rôle que vous souhaitez attribuer si l'attribution de rôle correspond. Sélectionnez Ajouter un autre pour créer une règle supplémentaire basée sur une condition différente.

      2. Choisissez une résolution de rôle. Lorsque les champs standard de votre utilisateur ne correspondent pas à vos règles, vous pouvez refuser les informations d'identification ou émettre des informations d'identification pour votre rôle authentifié.

   2. Configurez Attributs de contrôle d'accès pour chaque fournisseur d'identité. L'option Attributs de contrôle d'accès mappe les champs standard utilisateur sur les balises de principal qu'Amazon Cognito applique à la session temporaire. Vous pouvez créer des IAM politiques pour filtrer l'accès des utilisateurs en fonction des balises que vous appliquez à leur session.

      1. Pour n'appliquer aucune balise de principal, choisissez Inactif.

      2. Pour appliquer les balises de principal en fonction des champs standard sub et aud, choisissez Utiliser les mappages par défaut.

      3. Pour créer votre propre schéma personnalisé d'attributs pour les balises de principal, choisissez Utiliser des mappages personnalisés. Saisissez ensuite une clé de balise que vous souhaitez obtenir à partir de chaque demande que vous souhaitez représenter dans une balise.

6. Dans Configurer les propriétés, saisissez un nom sous Nom du groupe d'identités.

7. Sous Authentification de base (classique), choisissez si vous souhaitez activer le flux de base. Lorsque le flux de base est actif, vous pouvez ignorer les sélections de rôles que vous avez effectuées pour vous IdPs et appeler AssumeRoleWithWebIdentitydirectement. Pour de plus amples informations, veuillez consulter Flux d'authentification des groupes d'identités.

8. Sous Balises, choisissez Ajouter une balise si vous souhaitez appliquer des balises à votre réserve d'identités.

9. Dans Vérifier et créer, confirmez les sélections que vous avez effectuées pour votre nouvelle réserve d'identités. Sélectionnez Modifier pour revenir dans l'assistant et modifier des paramètres. Lorsque vous avez terminé, sélectionnez Créer un groupe d'identités.

IAMRôles des utilisateurs

Un IAM rôle définit les autorisations permettant à vos utilisateurs d'accéder à AWS des ressources, telles queAmazon Cognito Sync. Les utilisateurs de votre application assument les rôles que vous créez. Vous pouvez spécifier différents rôles pour les utilisateurs authentifiés et ceux qui ne le sont pas. Pour en savoir plus sur IAM les rôles, voirIAMrôles.

Identités authentifiées et non authentifiées

Les groupes d'identités Amazon Cognito prennent en charge les identités authentifiées et non authentifiées. Les identités authentifiées appartiennent aux utilisateurs authentifiés par tout fournisseur d'identité pris en charge. Les identités non authentifiées appartiennent généralement aux utilisateurs invités.

• Pour configurer les identités authentifiées avec un fournisseur de connexion public, consultez la section Groupes d'identités (fournisseurs d'identité tiers).

• Pour configurer votre propre processus d'authentification backend, consultez la section Identités authentifiées par le développeur.

Activation ou désactivation de l'accès invité

L'accès invité aux pools d'identités Amazon Cognito (identités non authentifiées) fournit un identifiant et des informations d' AWS identification uniques aux utilisateurs qui ne s'authentifient pas auprès d'un fournisseur d'identité. Si votre application accepte les utilisateurs qui ne se connectent pas, vous pouvez activer l'accès pour les identités non authentifiées. Pour en savoir plus, consultez Commencer à utiliser les pools d'identités Amazon Cognito.

Pour mettre à jour l'accès invité dans une réserve d'identités

1. Choisissez Groupes d'identités dans la console Amazon Cognito. Sélectionnez une réserve d'identités.

2. Choisissez l'onglet Accès utilisateur.

3. Localisez Accès Invité. Dans une réserve d'identités qui ne prend actuellement pas en charge l'accès invité, Statut a pour valeur Inactif.

   1. Si Accès invité a pour valeur Actif et que vous souhaitez désactiver l'accès invité, sélectionnez Désactiver.

   2. Si Accès Invité a pour valeur Inactif et que vous souhaitez activer l'accès invité, sélectionnez Modifier.

      1. Choisissez un IAM rôle par défaut pour les utilisateurs invités dans votre pool d'identités.

         1. Choisissez de créer un nouveau IAM rôle si vous souhaitez qu'Amazon Cognito vous crée un nouveau rôle avec des autorisations de base et une relation de confiance avec votre pool d'identités. Entrez un nom de IAM rôle pour identifier votre nouveau rôle, par exemplemyidentitypool_authenticatedrole. Sélectionnez Afficher le document de politique pour consulter les autorisations qu'Amazon Cognito attribuera à votre nouveau IAM rôle.

         2. Vous pouvez choisir d'utiliser un IAM rôle existant si vous avez déjà un rôle Compte AWS que vous souhaitez utiliser dans le vôtre. Vous devez configurer votre politique de confiance en matière de IAM rôles de manière à inclurecognito-identity.amazonaws.com. Configurez votre politique d'approbation de rôle pour autoriser Amazon Cognito à endosser le rôle uniquement quand il présente une preuve que la demande provient d'un utilisateur authentifié dans votre réserve d'identités spécifique. Pour de plus amples informations, veuillez consulter Autorisations et approbation de rôle.

         3. Sélectionnez Enregistrer les modifications.

         4. Pour activer l'accès invité, sélectionnez Activer dans l'onglet Accès utilisateur.

Modification du rôle associé à un type d'identité

Chaque identité de votre groupe est authentifiée ou non authentifiée. Les identités authentifiées appartiennent aux utilisateurs authentifiés par un fournisseur de connexion public (groupes d'utilisateurs Amazon Cognito, Login with Amazon, Sign in with Apple, FacebookSAML, Google ou tout autre fournisseur OpenID Connect) ou un fournisseur de développement (votre propre processus d'authentification principal). Les identités non authentifiées appartiennent généralement aux utilisateurs invités.

Un rôle est attribué à chaque type d'identité. Ce rôle est associé à une politique qui indique à Services AWS qui il peut accéder. Quand Amazon Cognito reçoit une requête, le service détermine le type d'identité, identifie le rôle qui lui est assigné et utilise la politique associée à ce rôle pour répondre. En modifiant une politique ou en attribuant un rôle différent à un type d'identité, vous pouvez contrôler le type d'identité auquel Services AWS un type d'identité peut accéder. Pour consulter ou modifier les politiques associées aux rôles de votre pool d'identités, consultez la AWS IAMconsole.

Pour modifier le rôle authentifié ou non authentifié par défaut de la réserve d'identités

1. Choisissez Groupes d'identités dans la console Amazon Cognito. Sélectionnez une réserve d'identités.

2. Choisissez l'onglet Accès utilisateur.

3. Localisez Accès invité ou Accès authentifié. Dans une réserve d'identités qui n'est pas actuellement configurée pour ce type d'accès, Statut a pour valeur Inactif. Tâche de sélection Modifier.

4. Choisissez un IAM rôle par défaut pour les utilisateurs invités ou authentifiés dans votre pool d'identités.

   1. Choisissez de créer un nouveau IAM rôle si vous souhaitez qu'Amazon Cognito vous crée un nouveau rôle avec des autorisations de base et une relation de confiance avec votre pool d'identités. Entrez un nom de IAM rôle pour identifier votre nouveau rôle, par exemplemyidentitypool_authenticatedrole. Sélectionnez Afficher le document de politique pour consulter les autorisations qu'Amazon Cognito attribuera à votre nouveau IAM rôle.

   2. Vous pouvez choisir d'utiliser un IAM rôle existant si vous avez déjà un rôle Compte AWS que vous souhaitez utiliser dans le vôtre. Vous devez configurer votre politique de confiance en matière de IAM rôles de manière à inclurecognito-identity.amazonaws.com. Configurez votre politique d'approbation de rôle pour autoriser Amazon Cognito à endosser le rôle uniquement quand il présente une preuve que la demande provient d'un utilisateur authentifié dans votre réserve d'identités spécifique. Pour de plus amples informations, veuillez consulter Autorisations et approbation de rôle.

5. Sélectionnez Enregistrer les modifications.

Modification des fournisseurs d'identité

Si vous autorisez vos utilisateurs à s'authentifier à l'aide de fournisseurs d'identité grand public (par exemple, les groupes d'utilisateurs Amazon Cognito, Login with Amazon, Se connecter avec Apple, Facebook ou Google), vous pouvez spécifier vos identifiants d'application dans la console des réserves d'identités Amazon Cognito (identités fédérées). Cette approche associe l'ID de l'application (fourni par le fournisseur de connexion public) à votre groupe d'identités.

Vous pouvez également configurer des règles d'authentification pour chaque fournisseur sur cette page. Chaque fournisseur autorisé jusqu'à 25 règles. Ces règles sont appliquées dans l'ordre d'enregistrement pour chaque fournisseur. Pour de plus amples informations, veuillez consulter Utilisation du contrôle d'accès basé sur les rôles.

Avertissement

Le remplacement de l'ID d'application du fournisseur d'identité lié dans votre réserve d'identités empêche les utilisateurs existants de s'authentifier auprès de cette réserve d'identités. Pour de plus amples informations, veuillez consulter Groupes d'identités (fournisseurs d'identité tiers).

Pour mettre à jour un fournisseur d'identité (IdP)

1. Choisissez Groupes d'identités dans la console Amazon Cognito. Sélectionnez une réserve d'identités.

2. Choisissez l'onglet Accès utilisateur.

3. Localisez Fournisseurs d'identité. Choisissez le fournisseur d'identité que vous souhaitez modifier. Si vous souhaitez ajouter un nouveau fournisseur d'identité, sélectionnez Ajouter un fournisseur d'identité.

   1. Si vous avez choisi Ajouter un fournisseur d'identité, choisissez l'un des types d'identité que vous souhaitez ajouter.

4. Pour modifier l'ID d'application, choisissez Modifier dans Informations sur le fournisseur d'identité.

5. Pour modifier le rôle demandé par Amazon Cognito lorsqu'il délivre des informations d'identification aux utilisateurs qui se sont authentifiés auprès de ce fournisseur, choisissez Modifier dans Paramètres de rôle.

   1. Vous pouvez attribuer aux utilisateurs de ce fournisseur d'identité le rôle par défaut que vous avez configuré lorsque vous avez configuré votre rôle authentifié, ou vous pouvez sélectionner Choisir un rôle avec des règles. Avec un fournisseur d'identité de groupe d'utilisateurs Amazon Cognito, vous pouvez également sélectionner Choisir le rôle avec preferred_role dans les jetons. Pour plus d'informations sur le champ standard cognito:preferred_role, consultez Affectation de valeurs de priorité à des groupes.

      1. Si vous avez choisi Choisir un rôle avec des règles, saisissez la demande source issue de l'authentification de votre utilisateur, l'opérateur avec lequel vous souhaitez comparer ce champ standard, la valeur qui entraînera une correspondance avec ce choix de rôle et le rôle que vous souhaitez attribuer si l'attribution de rôle correspond. Sélectionnez Ajouter un autre pour créer une règle supplémentaire basée sur une condition différente.

      2. Choisissez une résolution de rôle. Lorsque les champs standard de votre utilisateur ne correspondent pas à vos règles, vous pouvez refuser les informations d'identification ou émettre des informations d'identification pour votre rôle authentifié.

6. Pour modifier les balises de principal qu'Amazon Cognito attribue lorsqu'il délivre des informations d'identification aux utilisateurs qui se sont authentifiés auprès de ce fournisseur, choisissez Modifier dans Attributs de contrôle d'accès.

   1. Pour n'appliquer aucune balise de principal, choisissez Inactif.

   2. Pour appliquer les balises de principal en fonction des champs standard sub et aud, choisissez Utiliser les mappages par défaut.

   3. Pour créer votre propre schéma personnalisé d'attributs pour les balises de principal, choisissez Utiliser des mappages personnalisés. Saisissez ensuite une clé de balise que vous souhaitez obtenir à partir de chaque demande que vous souhaitez représenter dans une balise.

7. Sélectionnez Enregistrer les modifications.

Supprimer un groupe d’identités

Vous ne pouvez pas annuler la suppression d'une réserve d'identités. Une fois que vous avez supprimé une réserve d'identités, toutes les applications et tous les utilisateurs qui en dépendent cessent de fonctionner.

Pour supprimer un groupe d'identités

1. Choisissez Groupes d'identités dans la console Amazon Cognito. Activez la case d'option en regard de la réserve d'identités que vous souhaitez supprimer.

2. Sélectionnez Delete (Supprimer).

3. Saisissez ou collez le nom de votre réserve d'identités et sélectionnez Supprimer.

Avertissement

Lorsque vous sélectionnez le bouton Delete (Supprimer), vous supprimez définitivement votre groupe d'identités et toutes les données utilisateur qu'il contient. La suppression d'une réserve d'identités entraîne l'arrêt du fonctionnement des applications et des autres services qui utilisaient cette réserve d'identités.

Supprimer une identité d'un groupe d'identités

Lorsque vous supprimez une identité d'une réserve d'identités, vous supprimez les informations d'identification qu'Amazon Cognito a stockées pour cet utilisateur fédéré. Lorsque votre utilisateur demande à nouveau des informations d'identification, il reçoit un nouvel ID d'identité si votre réserve d'identités fait toujours confiance à son fournisseur d'identité. Vous ne pouvez pas annuler cette opération.

Pour supprimer une identité

1. Choisissez Groupes d'identités dans la console Amazon Cognito. Sélectionnez une réserve d'identités.

2. Choisissez l'onglet Navigateur d'identité.

3. Cochez les cases en regard des identités que vous souhaitez supprimer et choisissez Supprimer. Confirmez que vous voulez supprimer ces identités et choisissez Supprimer.

Utilisation d'Amazon Cognito Sync avec des groupes d'identités

Amazon Cognito Sync est une Service AWS bibliothèque cliente qui permet de synchroniser les données utilisateur relatives aux applications sur tous les appareils. Amazon Cognito Sync peut synchroniser les données de profil utilisateur entre différents appareils mobiles et le web sans utiliser votre propre backend. Les bibliothèques client mettent en cache les données localement pour que votre application puisse lire et écrire des données quel que soit l'état de connectivité de l'appareil. Quand l'appareil est en ligne, vous pouvez synchroniser les données. Si vous configurez la synchronisation en mode push, vous pouvez avertir immédiatement les autres appareils qu'une mise à jour est disponible.

Gestion des jeux de données

Si vous avez implémenté la fonctionnalité Amazon Cognito Sync dans votre application, la console de groupes d'identités Amazon Cognito vous permet de créer et de supprimer manuellement des jeux de données et des enregistrements pour les identités individuelles. Toute modification apportée au jeu de données ou aux enregistrements d'une identité dans la console de groupes d'identités Amazon Cognito n'est pas enregistrée tant que vous n'avez pas sélectionné Synchronize (Synchroniser) sur la console. La modification n'est pas visible par l'utilisateur final tant que l'identité n'a pas appelé Synchronize (Synchroniser). Les données en cours de synchronisation provenant d'autres appareils pour des identités individuelles sont visibles lorsque vous actualisez la page de liste de jeux de données d'une identité donnée.

Créer un jeu de données pour une identité

La synchronisation Amazon Cognito associe un jeu de données à une identité. Vous pouvez remplir votre jeu de données avec des informations d'identification au sujet de l'utilisateur que l'identité représente, puis synchroniser ces informations sur tous les appareils de l'utilisateur.

Pour ajouter un jeu de données et des enregistrements de jeu de données à une identité

1. Choisissez Groupes d'identités dans la console Amazon Cognito. Sélectionnez une réserve d'identités.

2. Choisissez l'onglet Navigateur d'identité.

3. Sélectionnez l'identité que vous souhaitez modifier.

4. Dans Jeux de données, choisissez Créer un jeu de données.

5. Saisissez le nom du jeu de données et sélectionnez Créer un jeu de données.

6. Si vous souhaitez ajouter des enregistrements à votre jeu de données, choisissez votre jeu de données dans les détails d'identité. Dans Enregistrements, sélectionnez Créer un enregistrement.

7. Saisissez une clé et une valeur pour votre enregistrement. Choisissez Confirmer. Répétez l'opération pour ajouter d'autres enregistrements.

Supprimer un jeu de données de données associé à une identité

Pour supprimer un jeu de données et ses enregistrements d'une identité

1. Choisissez Groupes d'identités dans la console Amazon Cognito. Sélectionnez une réserve d'identités.

2. Choisissez l'onglet Navigateur d'identité.

3. Sélectionnez l'identité qui contient le jeu de données que vous souhaitez supprimer.

4. Dans Jeux de données, choisissez la case d'option en regard du jeu de données que vous voulez supprimer.

5. Sélectionnez Delete (Supprimer). Passez en revue votre choix et sélectionnez à nouveau Supprimer.

Publier des données en bloc

La publication en bloc peut être utilisée pour exporter les données déjà stockées dans votre magasin Amazon Cognito Sync vers un flux Amazon Kinesis. Pour obtenir des instructions sur la publication en bloc de tous les flux, consultez la section Implémentation des flux Amazon Cognito Sync.

Activation de la synchronisation push

Amazon Cognito suit automatiquement l'association entre l'identité et les appareils. La fonctionnalité de synchronisation push vous permet de veiller à ce que chaque instance d'une identité donnée soit informée en cas de modification des données d'identité. Chaque fois que le jeu de données d'une identité change, tous les dispositifs associés à cette identité reçoivent une notification push silencieuse les informant de ce changement.

Vous pouvez activer la synchronisation push dans la console Amazon Cognito.

Pour activer la synchronisation push

1. Choisissez Groupes d'identités dans la console Amazon Cognito. Sélectionnez une réserve d'identités.

2. Choisissez l'onglet Propriétés du groupe d'identités.

3. Dans Synchronisation push, sélectionnez Modifier

4. Sélectionnez Activer la synchronisation push avec votre réserve d'identités.

5. Choisissez l'une des applications de la plateforme Amazon Simple Notification Service (AmazonSNS) que vous avez créées dans la version actuelle Région AWS. Amazon Cognito publie des notifications push sur votre application de plateforme. Sélectionnez Create platform application pour accéder à la SNS console Amazon et en créer une nouvelle.

6. Pour publier sur votre application de plateforme, Amazon Cognito IAM joue un rôle dans votre. Compte AWS Choisissez de créer un nouveau IAM rôle si vous souhaitez qu'Amazon Cognito vous crée un nouveau rôle avec des autorisations de base et une relation de confiance avec votre pool d'identités. Entrez un nom de IAM rôle pour identifier votre nouveau rôle, par exemplemyidentitypool_authenticatedrole. Sélectionnez Afficher le document de politique pour consulter les autorisations qu'Amazon Cognito attribuera à votre nouveau IAM rôle.

7. Vous pouvez choisir d'utiliser un IAM rôle existant si vous avez déjà un rôle Compte AWS que vous souhaitez utiliser dans le vôtre. Vous devez configurer votre politique de confiance en matière de IAM rôles de manière à inclurecognito-identity.amazonaws.com. Configurez votre politique d'approbation de rôle pour autoriser Amazon Cognito à endosser le rôle uniquement quand il présente une preuve que la demande provient d'un utilisateur authentifié dans votre réserve d'identités spécifique. Pour de plus amples informations, veuillez consulter Autorisations et approbation de rôle.

8. Sélectionnez Enregistrer les modifications.

Configurer les flux Amazon Cognito

Les flux Amazon Cognito permettent aux développeurs de voir et de contrôler les données stockées dans Amazon Cognito. Les développeurs peuvent désormais configurer un flux Kinesis pour recevoir les événements de données. Amazon Cognito peut transmettre en temps réel une modification de jeu de données à un flux Kinesis que vous possédez. Pour obtenir des instructions sur la configuration des flux Amazon Cognito dans la console Amazon Cognito, consultez la section Implémentation des flux Amazon Cognito Sync.

Configurer les événements Amazon Cognito

Amazon Cognito Events vous permet d'exécuter une AWS Lambda fonction en réponse à des événements importants dans Amazon Cognito Sync. Amazon Cognito Sync déclenche l'événement Sync Trigger lors de la synchronisation d'un jeu de données. Vous pouvez utiliser cet événement pour effectuer une action lorsqu'un utilisateur met à jour des données. Pour plus d'informations sur la configuration d'événements Amazon Cognito à partir de la console, consultez Personnalisation des flux de travail avec Amazon Cognito Events.

Pour en savoir plus AWS Lambda, consultez AWS Lambda.