Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra. # Multi-Region réplication pour les groupes d'utilisateurs Avec la réplication multirégionale (MRR), vous pouvez créer un pool d'utilisateurs dupliqué dans un groupe d'utilisateurs supplémentaire Région AWS afin de fournir des fonctionnalités de continuité des activités et de reprise après sinistre pour votre infrastructure d'authentification. Avec MRR, les utilisateurs enregistrés peuvent continuer à s'authentifier auprès de vos applications même lorsque vous perdez la connectivité aux ressources d'une région, garantissant ainsi la disponibilité de vos applications. Lorsque vous configurez MRR, Amazon Cognito crée des groupes d'utilisateurs distincts avec un ID de groupe d'utilisateurs partagé. Chaque groupe d'utilisateurs répliqué héberge des services d'authentification pour un annuaire d'utilisateurs partagé. Le groupe d'utilisateurs principal fait office de source faisant autorité pour la configuration administrative et les opérations d'écriture telles que la réinitialisation des mots de passe et l'inscription des utilisateurs. Les groupes d'utilisateurs secondaires ne peuvent pas créer d'utilisateurs. Ils héritent de la plupart des paramètres du groupe d'utilisateurs principal et, en cas de basculement, peuvent gérer les opérations d'authentification telles que la connexion des utilisateurs et la génération de jetons. ## Ce qu'il faut savoir sur la réplication multirégionale + Multi-Region la réplication entraîne des coûts supplémentaires distincts et nécessite que votre groupe d'utilisateurs souscrive au [plan de fonctionnalités](cognito-sign-in-feature-plans.md) Essentials ou Plus. Vous ne pouvez pas activer le MRR sur les groupes d'utilisateurs avec le plan de fonctionnalités Lite. + Vous devez configurer votre groupe d'utilisateurs à l'aide d'une [clé gérée par le client dans plusieurs régions](https://docs.aws.amazon.com/kms/latest/developerguide/multi-region-keys-overview.html) AWS KMS avant d'activer la réplication. La clé doit être disponible dans tous ceux Régions AWS qui possèdent des répliques de groupes d'utilisateurs. Pour plus d’informations, consultez [Chiffrement des données](data-protection.md#data-encryption). + Pour une validation cohérente des jetons dans toutes les régions, nous vous recommandons de configurer votre groupe d'utilisateurs avec un émetteur mis à jour. Pour plus d’informations, consultez [Groupes d'utilisateurs Amazon Cognito en tant qu'émetteur OIDC](federation-endpoints.md#user-pool-oidc-issuer). + Les nouveaux groupes d'utilisateurs secondaires démarrent dans `INACTIVE` cet État. Vérifiez et configurez les paramètres régionaux avant d'activer le groupe d'utilisateurs pour une utilisation en production. + Les configurations régionales peuvent différer d'une réplique à l'autre. Vous pouvez configurer les paramètres suivants indépendamment dans les répliques. Tous les autres paramètres sont définis dans le groupe d'utilisateurs principal et automatiquement synchronisés avec le groupe secondaire. + Configuration du courrier électronique + Configuration des e-mails pour les notifications de protection contre les menaces + Configuration SMS + Déclencheurs Lambda + Étiquettes + Configuration de l'exportation des journaux + AWS WAF ACL Web + La réplication des données entre les régions peut entraîner de brefs retards. Le groupe d'utilisateurs principal synchronise les paramètres et les mises à jour du répertoire utilisateur avec le groupe secondaire, et ce processus est finalement cohérent. ## Limites de la réplication multirégionale + Vous ne pouvez pas générer de nouveaux utilisateurs dans des groupes d'utilisateurs secondaires, que ce soit par inscription ou par création d'un administrateur. Les utilisateurs fédérés ne peuvent se connecter à un groupe d'utilisateurs secondaire en état de basculement que s'ils se sont déjà connectés au groupe d'utilisateurs principal. + Les utilisateurs ne peuvent pas réinitialiser leur mot de passe ni modifier leur profil dans les groupes d'utilisateurs secondaires. En cas de basculement, désactivez ces opérations dans l'interface utilisateur et rendez-les disponibles une fois que votre bilan de santé aura rétabli l'accès au groupe d'utilisateurs principal. + Vous pouvez disposer d'au plus une réplique secondaire dans une région supplémentaire par annuaire d'utilisateurs. Tout groupe d'utilisateurs éligible peut disposer d'une réplique secondaire. + Le MFA TOTP n'est pas pris en charge dans les répliques secondaires. Les utilisateurs dont l'authentification MFA TOTP est configurée doivent s'authentifier lorsque le groupe d'utilisateurs de la région principale traite les demandes. + Le nombre de tentatives d'authentification par mot de passe avant le verrouillage n'est pas synchronisé entre les régions. Chaque réplique conserve son propre nombre de tentatives d'authentification infructueuses. ## Configuration de la réplication multirégionale Avant de pouvoir activer la réplication multirégionale, assurez-vous que votre groupe d'utilisateurs répond aux conditions requises : plan de fonctionnalités Essentials ou Plus et clé KMS multirégionale gérée par le client. ------ #### [ Console de gestion AWS ] **Pour configurer la réplication multirégionale pour un groupe d'utilisateurs** 1. Connectez-vous à la [console Amazon Cognito](https://console.aws.amazon.com/cognito/home). 1. Choisissez **Groupes d’utilisateurs**. 1. Choisissez un groupe d'utilisateurs existant dans la liste ou [créez-en un nouveau](getting-started-user-pools-application.md). 1. Sélectionnez l’onglet **Paramètres**. 1. Dans le menu de navigation de gauche, choisissez **Multi-Regionréplication**. 1. Choisissez **Créer un pool d'utilisateurs répliqué**. 1. Pour **Région**, sélectionnez l' Région AWS endroit où vous souhaitez créer le pool d'utilisateurs répliqué. 1. Consultez le résumé de la configuration et choisissez **Create replica**. 1. Une fois la réplique créée, passez en revue les paramètres de configuration régionaux dans le tableau de comparaison. Configurez tous Region-specific les paramètres tels que la configuration des e-mails, les paramètres SMS ou les déclencheurs Lambda selon les besoins de votre région de réplication. 1. Pour configurer un contrôle de santé Route 53 pour votre domaine, accédez au menu **des services de domaine**, modifiez ou ajoutez un domaine personnalisé et configurez un **ID de contrôle de santé Route 53**. 1. Lorsque vous êtes prêt à utiliser le réplica pour le trafic de production, modifiez le statut du réplica de **Inactif** **à Actif**. ------ #### [ API ] Pour créer un pool d'utilisateurs répliqué, utilisez l'[CreateUserPoolReplica](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_CreateUserPoolReplica.html)opération. L'exemple suivant crée une réplique dans la `us-west-2` région pour un groupe d'utilisateurs principal dans`us-east-1`. ``` { "UserPoolId": "{{us-east-1_EXAMPLE}}", "RegionName": "{{us-west-2}}", "UserPoolTags": { "Environment": "{{Production}}", "Application": "{{MyApp}}" } } ``` La réponse inclut les informations relatives à la réplique : ``` { "Replica": { "RegionName": "{{us-west-2}}", "UserPoolArn": "arn:aws:cognito-idp:{{us-west-2}}:{{111122223333}}:userpool/{{us-east-1_EXAMPLE}}", "Status": "PENDING_CREATE", "Role": "SECONDARY" } } ``` Vous devez également configurer votre domaine pour le basculement. Configurez un bilan de santé dans Route 53 et appliquez-le à votre domaine dans le cadre d'une [UpdateUserPoolDomain](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_UpdateUserPoolDomain.html)demande : ``` { "CustomDomainConfig": { "CertificateArn": "arn:aws:acm:us-east-1:{{111122223333}}:certificate/{{a1b2c3d4-5678-90ab-cdef-EXAMPLE11111}}" }, "Domain": "{{auth.example.com}}", "ManagedLoginVersion": {{2}}, "Routing": { "Failover": { "SecondaryRegion": "{{us-west-2}}", "PrimaryRoute53HealthCheckId": "{{a1b2c3d4-5678-90ab-cdef-EXAMPLE11111}}" } }, "UserPoolId": "{{us-east-1_EXAMPLE}}" } ``` Pour activer la réplique à des fins de production, utilisez l'[UpdateUserPoolReplica](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_UpdateUserPoolReplica.html)opération suivante : ``` { "UserPoolId": "{{us-east-1_EXAMPLE}}", "RegionName": "{{us-west-2}}", "Status": "ACTIVE" } ``` La réponse confirme le statut mis à jour de la réplique : ``` { "Replica": { "RegionName": "{{us-west-2}}", "UserPoolArn": "arn:aws:cognito-idp:{{us-west-2}}:{{111122223333}}:userpool/{{us-east-1_EXAMPLE}}", "Status": "ACTIVE", "Role": "SECONDARY" } } ``` ------ ## Opérations d'API prises en charge dans les régions secondaires Amazon Cognito prend en charge un sous-ensemble d'opérations d'API dans les régions secondaires. Les opérations disponibles dépendent de l'état de la réplique. Les répliques en `INACTIVE` état prennent en charge un ensemble limité d'opérations de lecture et de configuration. Les répliques d'`ACTIVE`état prennent en charge des opérations d'authentification et de gestion de session supplémentaires. Les opérations qui ne sont pas répertoriées ici ne sont disponibles que dans la région principale. ### Opérations pour les régions secondaires INACTIVES Les groupes d'utilisateurs répliqués dans les régions secondaires en `INACTIVE` statut autorisent les opérations d'API Amazon Cognito suivantes. + [AdminGetDevice](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_AdminGetDevice.html) + [AdminGetUser](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_AdminGetUser.html) + [AdminListDevices](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_AdminListDevices.html) + [AdminListGroupsForUser](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_AdminListGroupsForUser.html) + [AdminListUserAuthEvents](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_AdminListUserAuthEvents.html) + [AssociateWebACL](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_AssociateWebACL.html) + [CreateUserPoolDomain](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_CreateUserPoolDomain.html) + [DeleteUserPoolDomain](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_DeleteUserPoolDomain.html) + [DeleteUserPoolReplica](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_DeleteUserPoolReplica.html) + [DescribeIdentityProvider](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_DescribeIdentityProvider.html) + [DescribeManagedLoginBranding](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_DescribeManagedLoginBranding.html) + [DescribeManagedLoginBrandingByClient](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_DescribeManagedLoginBrandingByClient.html) + [DescribeResourceServer](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_DescribeResourceServer.html) + [DescribeRiskConfiguration](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_DescribeRiskConfiguration.html) + [DescribeTerms](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_DescribeTerms.html) + [DescribeUserPool](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_DescribeUserPool.html) + [DescribeUserPoolClient](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_DescribeUserPoolClient.html) + [DescribeUserPoolDomain](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_DescribeUserPoolDomain.html) + [DisassociateWebACL](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_DisassociateWebACL.html) + [GetGroup](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_GetGroup.html) + [GetLogDeliveryConfiguration](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_GetLogDeliveryConfiguration.html) + [GetSigningCertificate](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_GetSigningCertificate.html) + [GetUICustomization](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_GetUICustomization.html) + [GetUserPoolMfaConfig](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_GetUserPoolMfaConfig.html) + [ListIdentityProviders](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_ListIdentityProviders.html) + [ListGroups](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_ListGroups.html) + [ListResourceServers](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_ListResourceServers.html) + [ListTagsForResource](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_ListTagsForResource.html) + [ListTerms](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_ListTerms.html) + [ListUserPoolClients](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_ListUserPoolClients.html) + [ListUserPoolClientSecrets](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_ListUserPoolClientSecrets.html) + [ListUserPoolReplicas](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_ListUserPoolReplicas.html) + [ListUserPools](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_ListUserPools.html) + [ListUsers](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_ListUsers.html) + [ListUsersInGroup](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_ListUsersInGroup.html) + [SetLogDeliveryConfiguration](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_SetLogDeliveryConfiguration.html) + [SetRiskConfiguration](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_SetRiskConfiguration.html) + [SetUserPoolMfaConfig](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_SetUserPoolMfaConfig.html) + [TagResource](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_TagResource.html) + [UntagResource](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_UntagResource.html) + [UpdateUserPool](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_UpdateUserPool.html) + [UpdateUserPoolDomain](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_UpdateUserPoolDomain.html) + [UpdateUserPoolReplica](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_UpdateUserPoolReplica.html) ### Opérations supplémentaires pour les régions secondaires ACTIVES Les groupes d'utilisateurs répliqués dans les régions secondaires en `ACTIVE` statut autorisent toutes les opérations précédentes, ainsi que les opérations d'authentification et de gestion de session suivantes. + [AdminInitiateAuth](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_AdminInitiateAuth.html) + [AdminRespondToAuthChallenge](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_AdminRespondToAuthChallenge.html) + [AdminUpdateAuthEventFeedback](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_AdminUpdateAuthEventFeedback.html) + [AdminUserGlobalSignOut](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_AdminUserGlobalSignOut.html) + [GetDevice](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_GetDevice.html) + [GetIdentityProviderByIdentifier](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_GetIdentityProviderByIdentifier.html) + [GetTokensFromRefreshToken](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_GetTokensFromRefreshToken.html) + [GetUser](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_GetUser.html) + [GetUserAuthFactors](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_GetUserAuthFactors.html) + [GlobalSignOut](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_GlobalSignOut.html) + [InitiateAuth](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_InitiateAuth.html) + [ListDevices](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_ListDevices.html) + [ListWebAuthnCredentials](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_ListWebAuthnCredentials.html) + [RespondToAuthChallenge](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_RespondToAuthChallenge.html) + [RevokeToken](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_RevokeToken.html) + [UpdateAuthEventFeedback](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_UpdateAuthEventFeedback.html) ## Basculement dans des groupes d'utilisateurs multirégionaux Avec les groupes d'utilisateurs multirégionaux, vous pouvez basculer entre les connexions gérées, les connexions fédérées et les appels d'API directs entre deux. Régions AWS La connexion gérée et le basculement de fédération sont disponibles avec un domaine personnalisé ou un domaine préfixe (Cognito) configuré avec votre groupe d'utilisateurs. Vous ne pouvez pas configurer un autre domaine personnalisé avec des groupes d'utilisateurs répliqués. **Note** Amazon Cognito ne prend actuellement pas en charge le basculement automatique avec un bilan de santé Route 53 dans les régions AWS GovCloud (États-Unis). Pour plus d'informations sur le routage du trafic vers la AWS GovCloud région secondaire aux États-Unis, consultez[Failover dans le AWS GovCloud Régions (États-Unis)](#user-pool-multi-region-failover-govcloud). ### Basculement pour la gestion de la connexion, de la fédération et de l'autorisation machine à machine Le basculement est disponible lorsque votre groupe d'utilisateurs principal possède un [domaine personnalisé ou un domaine](cognito-user-pools-add-custom-domain.md) [préfixe](cognito-user-pools-assign-domain-prefix.md). Le domaine de votre groupe d'utilisateurs dessert les ressources OAuth 2.0, y compris les points de terminaison d'[autorisation](authorization-endpoint.md) et de [token](token-endpoint.md), et gère les réponses IdP des fournisseurs de fédération tiers, notamment OIDC, SAML et les fournisseurs sociaux. Pour activer le basculement, configurez un [bilan de santé](https://docs.aws.amazon.com/Route53/latest/DeveloperGuide/dns-failover.html) dans Route 53 et définissez le `Routing` champ sur votre domaine. Vous déterminez ce qui déclenche un état sain ou malsain. Lorsque le bilan de santé ne fonctionne pas correctement, Amazon Cognito diffuse les pages de connexion gérées et les opérations d'authentification à partir du pool d'utilisateurs de la réplique secondaire. Lorsque le bilan de santé est rétabli, Amazon Cognito commence à rediriger le trafic vers le réplica principal. Pour les domaines personnalisés, l'enregistrement DNS peut utiliser Route 53 ou un fournisseur DNS tiers. Assurez-vous de disposer d'un enregistrement CNAME valide dans votre fournisseur DNS pointant vers votre alias cible, qui est une CloudFront distribution. Vous trouverez l'alias cible sur la page **Domaine** de la console Amazon Cognito. **Pour mettre à jour l'identifiant du bilan de santé dans la console** 1. Connectez-vous à la [console Amazon Cognito](https://console.aws.amazon.com/cognito/home). 1. Choisissez **Groupes d'utilisateurs**, puis choisissez votre groupe d'utilisateurs. 1. Dans le menu, sélectionnez **Domaine** sous **Branding**. 1. Dans la section **Domaine personnalisé**, choisissez l'option de modification, puis sélectionnez **Modifier le basculement multirégional**. 1. Activez l'option **Activer le basculement multirégional**. 1. Sélectionnez votre identifiant de bilan de santé Route 53 parmi les bilans de santé disponibles. 1. Cliquez sur **Enregistrer les modifications**. ### Failover pour les API et kits de développement logiciel Amazon Cognito Si vous utilisez les API ou les SDK Amazon Cognito, aucun domaine personnalisé n'est utilisé et votre application est chargée d'acheminer le trafic vers le point de terminaison régional du service Amazon Cognito afin de gérer l'authentification et les autres appels d'API. Si vous ne disposez que d'une interface d'application utilisant un client public, telle qu'une application monopage (SPA) ou une application mobile, votre application doit être dynamique pour acheminer les appels d'API en conséquence. Envisagez un back-end d'application sans serveur pour déterminer par quelle région l'authentification avec Amazon Cognito doit commencer. Si vous avez une application dotée d'un backend, la logique permettant de déterminer le groupe d'utilisateurs auprès duquel s'authentifier peut être déterminée ici. Si vous utilisez à la fois des points de terminaison de connexion gérés et des API, utilisez le même test de santé Route 53 pour déterminer la région vers laquelle votre application dirige les appels d'API Amazon Cognito. ### Failover dans le AWS GovCloud Régions (États-Unis) Amazon Cognito ne prend actuellement pas en charge le basculement automatique avec un bilan de santé Route 53 dans les régions AWS GovCloud (États-Unis). Vous ne pouvez pas définir le `Routing` champ sur un domaine de groupe d'utilisateurs, et les domaines personnalisés ne sont pas disponibles. Pour continuer à servir les points de terminaison gérés de connexion, de fédération et OAuth 2.0 à partir de la région secondaire, configurez un domaine de préfixe pour chaque groupe d'utilisateurs répliqué et acheminez vous-même le trafic entre les domaines. Effectuez les étapes suivantes avant de devoir basculer. Avant de commencer, créez un pool d'utilisateurs répliqué dans la région secondaire. **Pour préparer le basculement dans le AWS GovCloud Régions (États-Unis)** 1. Dans la région secondaire, créez un domaine de préfixe pour le groupe d'utilisateurs répliqué avec connexion gérée. Dans une `CreateUserPoolDomain` demande, définissez `ManagedLoginVersion` ou choisissez **Connexion gérée** dans le menu **Domaine** de la console Amazon Cognito. `2` Les groupes d'utilisateurs répliqués ne prennent pas en charge les domaines dotés de l'interface utilisateur hébergée classique. Chaque domaine possède une Region-specific URL. 1. Si votre groupe d'utilisateurs possède des fournisseurs d'identité fédérés (IdPs), ajoutez l'URL de redirection du domaine secondaire à chaque IdP. Pour OIDC et social IdPs, ajoutez en `https://{{secondary-domain}}/oauth2/idpresponse` tant qu'URI de redirection autorisée. Pour le SAML IdPs, ajoutez `https://{{secondary-domain}}/saml2/idpresponse` en tant qu'URL du service client d'assertions (ACS). Si vous ignorez cette étape, la connexion fédérée échoue une fois que vous avez transféré le trafic vers le domaine secondaire. 1. Configurez votre application pour envoyer des demandes aux points de terminaison d'autorisation, de jeton, de déconnexion et autres points de terminaison OAuth 2.0 du domaine de la région qui dessert le trafic. Incluez les clients de machine à machine (M2M) qui demandent des jetons avec l'autorisation d'identification du client. 1. Avant d'envoyer du trafic vers la région secondaire, remplacez le statut du groupe d'utilisateurs de la réplique par`ACTIVE`. Lorsque vous acheminez le trafic vers le domaine secondaire, tenez compte des points suivants : + **Clés** de passe : les clés d'accès enregistrées par les utilisateurs sur le domaine principal ne fonctionnent pas sur le domaine secondaire, car l'identifiant de la partie utilisatrice est différent pour chaque domaine. Pour se connecter à la connexion gérée sur le domaine secondaire, les utilisateurs doivent utiliser une autre méthode de connexion. Cela n'affecte pas les applications qui utilisent les SDK et définissent leur propre domaine comme identifiant de partie utilisatrice. + **Failback** : Amazon Cognito ne redirige pas le trafic vers la région principale. Lorsque la région principale sera de nouveau disponible, mettez à jour votre application pour envoyer du trafic vers le domaine principal. Pour plus d'informations sur le trafic de l'API et du SDK de routage, consultez[Failover pour les API et kits de développement logiciel Amazon Cognito](#user-pool-multi-region-failover-api).