Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
Cose da sapere sull'autenticazione con pool di utenti
Prendi in considerazione le seguenti informazioni nella progettazione del tuo modello di autenticazione con i pool di utenti di Amazon Cognito.
- Flussi di autenticazione nell'accesso gestito e nell'interfaccia utente ospitata
-
L'accesso gestito offre più opzioni di autenticazione rispetto alla classica interfaccia utente ospitata. Ad esempio, gli utenti possono eseguire l'autenticazione senza password e con chiave di accesso solo nell'accesso gestito.
- I flussi di autenticazione personalizzati sono disponibili solo nell'autenticazione SDK AWS
-
Non puoi eseguire flussi di autenticazione personalizzati o autenticazioni personalizzate con trigger Lambda, con l'accesso gestito o la classica interfaccia utente ospitata. L'autenticazione personalizzata è disponibile nell'autenticazione con AWS SDK.
- Accesso gestito per l'accesso con provider di identità esterno (IdP)
-
Non puoi far accedere gli utenti tramite l'autenticazione di terze parti con IdPs AWS gli SDK. È necessario implementare l'accesso gestito o la classica interfaccia utente ospitata, reindirizzare IdPs e quindi elaborare l'oggetto di autenticazione risultante con le librerie OIDC nell'applicazione. Per ulteriori informazioni sull'accesso gestito, vedere. Accesso gestito dal pool di utenti
- Effetto dell'autenticazione senza password su altre funzionalità utente
-
L'attivazione dell'accesso senza password con password o passkey monouso nel pool di utenti e nel client dell'app ha un effetto sulla creazione e sulla migrazione degli utenti. Quando l'accesso senza password è attivo:
-
Gli amministratori possono creare utenti senza password. Il modello di messaggio di invito predefinito viene modificato e non include più il segnaposto per la
{###}password. Per ulteriori informazioni, consulta Creazione di account utente come amministratore. -
Per quanto riguarda SDK-based SignUple operazioni, gli utenti non sono tenuti a fornire una password al momento della registrazione. L'accesso gestito e l'interfaccia utente ospitata richiedono una password nella pagina di registrazione, anche se è consentita l'autenticazione senza password. Per ulteriori informazioni, consulta Registrazione e conferma degli account utente.
-
Gli utenti importati da un file CSV possono accedere immediatamente con opzioni senza password, senza reimpostare la password, se i loro attributi includono un indirizzo e-mail o un numero di telefono per un'opzione di accesso senza password disponibile. Per ulteriori informazioni, consulta Importazione di utenti nel bacino d'utenza da un file CSV.
-
L'autenticazione senza password non richiama il trigger Lambda per la migrazione degli utenti.
-
Gli utenti che accedono con una password monouso (OTP) non possono aggiungere un fattore di autenticazione a più fattori (MFA) alla sessione. Le passkey con verifica utente possono soddisfare i requisiti MFA se configurate con.
MULTI_FACTOR_WITH_USER_VERIFICATION
-
- Gli URL delle parti che si affidano a Passkey non possono essere presenti nell'elenco pubblico dei suffissi
-
Puoi usare nomi di dominio di tua proprietà, ad esempio
www.example.com, come ID relying party (RP) nella configurazione della tua passkey. Questa configurazione è pensata per supportare applicazioni personalizzate che vengono eseguite su domini di tua proprietà. L'elenco dei suffissi pubblici, o PSL, contiene domini di alto livello protetti. Amazon Cognito restituisce un errore quando tenti di impostare l'URL RP su un dominio su PSL.
Durata del flusso della sessione di autenticazione
A seconda delle funzionalità del tuo pool di utenti, puoi rispondere a diverse sfide RespondToAuthChallenge prima InitiateAuth e prima che l'app recuperi i token da Amazon Cognito. Amazon Cognito include una stringa di sessione nella risposta a ciascuna richiesta. Per combinare le richieste API in un flusso di autenticazione, includere la stringa di sessione della risposta alla richiesta precedente in ogni richiesta successiva. Per impostazione predefinita, gli utenti hanno a disposizione tre minuti per completare ogni verifica prima della scadenza della stringa della sessione. Per modificare questo periodo, modificare il client dell'app Authentication flow session duration (Durata della sessione del flusso di autenticazione). La procedura seguente descrive come modificare questa impostazione nella configurazione del client dell'app.
Nota
Le impostazioni Durata della sessione del flusso di autenticazione si applicano all'autenticazione con l'API dei pool di utenti Amazon Cognito. L'accesso gestito imposta la durata della sessione a 3 minuti per l'autenticazione a più fattori e a 8 minuti per la modifica forzata della password durante il primo accesso dell'utente finale con password temporanea.
Per ulteriori informazioni sui client di app, consulta Application-specific impostazioni con i client dell'app.
Comportamento di blocco in caso di tentativi di accesso non riusciti
Dopo cinque tentativi di accesso falliti con la password di un utente, indipendentemente dal fatto che vengano richiesti con operazioni IAM-authorized API o non autenticate, Amazon Cognito blocca l'utente per un secondo. La durata del blocco quindi raddoppia dopo ogni ulteriore tentativo non riuscito, fino a un massimo di circa 15 minuti.
I tentativi effettuati durante un periodo di blocco generano un'eccezione Password attempts exceeded e non influiscono sulla durata dei periodi di blocco successivi. Per un numero cumulativo di tentativi di accesso non riusciti n, ad esclusione delle eccezioni Password attempts exceeded, Amazon Cognito blocca l'utente per 2^(n-5) secondi. Per ripristinare lo stato iniziale n=0 del blocco, l'utente deve effettuare un accesso riuscito dopo la scadenza del periodo di blocco oppure non deve iniziare alcun tentativo di accesso per 15 minuti consecutivi in qualsiasi momento dopo il blocco. Questo comportamento è soggetto a modifiche. Questo comportamento non si applica alle sfide personalizzate a meno che non eseguano anche l'autenticazione basata su password.
