Menambahkan grup ke kumpulan pengguna

Dukungan untuk grup di kolam pengguna Amazon Cognito memungkinkan Anda membuat dan mengelola grup, menambahkan pengguna ke grup, dan menghapus pengguna dari grup. Gunakan grup untuk membuat koleksi pengguna guna mengelola izin mereka atau untuk mewakili tipe pengguna yang berbeda. Anda dapat menetapkan peran AWS Identity and Access Management (IAM) ke grup untuk menentukan izin bagi anggota grup.

Anda dapat menggunakan grup untuk membuat kumpulan pengguna di kolam pengguna, yang sering dilakukan untuk mengatur izin bagi pengguna tersebut. Sebagai contoh, Anda dapat membuat grup terpisah untuk pengguna yang merupakan pembaca, kontributor, dan editor situs web dan aplikasi Anda. Dengan menggunakan IAM role yang terkait dengan grup, Anda juga dapat mengatur izin berbeda untuk grup berbeda tersebut sehingga hanya kontributor yang dapat memasukkan konten ke Amazon S3 dan hanya editor yang dapat menerbitkan konten melalui API di Amazon API Gateway.

Anda dapat membuat dan mengelola grup di kumpulan pengguna dari AWS Management Console, API, dan CLI. Sebagai pengembang (menggunakan AWS kredensi), Anda dapat membuat, membaca, memperbarui, menghapus, dan membuat daftar grup untuk kumpulan pengguna. Anda juga dapat menambahkan pengguna dan menghapus pengguna dari grup.

Tidak ada biaya tambahan untuk menggunakan grup dalam kolam pengguna. Lihat Harga Amazon Cognito untuk informasi selengkapnya.

Menetapkan peran IAM ke grup

Anda dapat menggunakan grup untuk mengontrol izin ke sumber daya Anda menggunakan IAM role. IAM role mencakup kebijakan kepercayaan dan kebijakan izin. Kebijakan kepercayaan peran menentukan siapa yang dapat menggunakan peran. Kebijakan izin menentukan tindakan dan sumber daya yang dapat diakses oleh anggota grup Anda. Saat Anda membuat peran IAM, siapkan kebijakan kepercayaan peran untuk memungkinkan pengguna grup Anda mengambil peran tersebut. Dalam kebijakan izin peran, tentukan izin yang Anda inginkan untuk dimiliki grup Anda.

Saat Anda membuat grup di Amazon Cognito, Anda menentukan IAM role dengan menyediakan ARN peran. Saat anggota grup masuk menggunakan Amazon Cognito, mereka dapat menerima kredensial sementara dari kolam identitas. Izin mereka ditentukan oleh IAM role terkait.

Pengguna individu dapat berada di dalam beberapa grup. Sebagai developer, Anda memiliki opsi berikut untuk memilih IAM role secara otomatis saat pengguna berada di beberapa grup:

• Anda dapat menetapkan nilai prioritas untuk setiap grup. Grup dengan prioritas yang lebih baik (lebih rendah) akan dipilih dan IAM role terkaitnya akan diterapkan.

• Aplikasi Anda juga dapat memilih di antara peran yang tersedia saat meminta AWS kredensional untuk pengguna melalui kumpulan identitas, dengan menentukan peran ARN dalam parameter. GetCredentialsForIdentityCustomRoleARN IAM role yang ditentukan harus cocok dengan peran yang tersedia untuk pengguna.

Menetapkan nilai prioritas ke grup

Seorang pengguna dapat menjadi anggota lebih dari satu grup. Dalam akses pengguna dan token ID, cognito:groups klaim berisi daftar semua grup yang dimiliki pengguna. Klaim cognito:roles berisi daftar peran yang sesuai dengan grup.

Karena pengguna dapat menjadi bagian dari lebih dari satu grup, setiap grup dapat diberikan prioritas. Ini adalah angka non-negatif yang menentukan prioritas grup ini relatif terhadap grup lain yang dimiliki pengguna di kumpulan pengguna. Nol adalah nilai prioritas teratas. Grup dengan nilai prioritas yang lebih rendah lebih diutamakan daripada grup dengan nilai prioritas yang lebih tinggi atau nol. Jika pengguna termasuk dalam dua grup atau lebih, grup dengan nilai prioritas terendah akan memiliki peran IAM yang diterapkan pada cognito:preferred_role klaim dalam token ID pengguna.

Dua grup dapat memiliki nilai prioritas yang sama. Jika ini terjadi, tidak ada grup yang didahulukan dari yang lain. Jika dua grup dengan nilai prioritas yang sama memiliki peran ARN yang sama, peran tersebut digunakan dalam klaim cognito:preferred_role dalam token ID untuk pengguna di setiap grup. Jika kedua grup memiliki peran ARN yang berbeda, klaim cognito:preferred_role tidak diatur di dalam token ID pengguna.

Menggunakan grup untuk mengontrol izin dengan Amazon API Gateway

Anda dapat menggunakan grup di kolam pengguna untuk mengontrol izin dengan Amazon API Gateway. Grup yang menjadi anggota pengguna termasuk dalam token ID dan token akses dari kumpulan pengguna dalam cognito:groups klaim. Anda dapat mengirimkan ID atau token akses dengan permintaan ke Amazon API Gateway dan menggunakan otorisasi kumpulan pengguna Amazon Cognito untuk REST API. Untuk informasi selengkapnya, lihat Mengendalikan akses ke REST API menggunakan kolam pengguna Amazon Cognito sebagai pemberi otorisasi di Panduan Developer API Gateway.

Anda juga dapat mengotorisasi akses ke API HTTP Amazon API Gateway dengan otorisasi JWT kustom. Untuk informasi selengkapnya, lihat Mengendalikan akses ke API HTTP dengan otorisasi JWT di Panduan Developer API Gateway.

Batasan pada kelompok

Grup pengguna tunduk pada batasan berikut:

• Jumlah grup yang dapat Anda buat dibatasi oleh kuota layanan Amazon Cognito.

• Grup tidak dapat disarangkan.

• Anda tidak dapat mencari pengguna di dalam grup.

• Anda tidak dapat mencari grup berdasarkan nama, tetapi Anda dapat membuat daftar grup.

Membuat grup baru di AWS Management Console

Gunakan prosedur berikut untuk membuat grup baru.

Untuk membuat grup baru

1. Masuk ke Konsol Amazon Cognito. Jika diminta, masukkan AWS kredensional Anda.

2. Pilih Kolam Pengguna.

3. Pilih kumpulan pengguna yang ada dari daftar.

4. Pilih tab Grup, lalu pilih Buat grup.

5. Pada halaman Buat grup, di Nama grup, masukkan nama ramah untuk grup baru Anda.

6. Anda dapat secara opsional memberikan informasi tambahan tentang grup ini menggunakan salah satu bidang berikut:

   • Deskripsi - Masukkan detail tentang apa grup baru ini akan digunakan.

   • Prioritas - Amazon Cognito mengevaluasi dan menerapkan semua izin grup untuk pengguna tertentu berdasarkan grup mana mereka memiliki nilai prioritas yang lebih rendah. Kelompok dengan prioritas lebih rendah akan dipilih dan peran IAM terkait akan diterapkan. Untuk informasi selengkapnya, lihat Menetapkan nilai prioritas ke grup.

   • Peran IAM - Anda dapat menetapkan peran IAM ke grup Anda ketika Anda perlu mengontrol izin ke sumber daya Anda. Jika Anda mengintegrasikan kolam pengguna dengan kolam identitas, pengaturan IAM role menentukan peran mana yang ditetapkan dalam token ID pengguna jika kolam identitas terkonfigurasi untuk memilih peran dari token. Untuk informasi selengkapnya, lihat Menetapkan peran IAM ke grup.

   • Tambahkan pengguna ke grup ini - Tambahkan pengguna yang ada sebagai anggota grup ini setelah dibuat.

7. Pilih Buat untuk mengonfirmasi.