Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
Trigger Lambda del mittente di e-mail personalizzato
Quando assegni un trigger del mittente dell'e-mail personalizzato al pool di utenti, Amazon Cognito richiama una funzione Lambda anziché il suo comportamento predefinito quando un evento utente richiede l'invio di un messaggio e-mail. Con un trigger del mittente personalizzato, la funzione AWS Lambda può inviare notifiche e-mail agli utenti tramite un metodo e un provider di propria scelta. Il codice personalizzato della funzione deve elaborare e distribuire tutti i messaggi e-mail del pool di utenti.
Nota
Al momento, non è possibile assegnare trigger del mittente personalizzati nella console Amazon Cognito. Puoi assegnare un trigger con il parametro LambdaConfig
in una richiesta API CreateUserPool
o UpdateUserPool
.
Per usare questo trigger, esegui questi passaggi:
-
Crea una chiave di crittografia simmetrica in AWS Key Management Service (AWS KMS). Amazon Cognito genera segreti (password temporanee, codici di verifica e codici di conferma), quindi utilizza questa chiave KMS per crittografarli. Puoi quindi usare l'operazione API Decrittografa nella funzione Lambda per decrittografare i segreti e inviarli all'utente come testo non crittografato. Il AWS Encryption SDK è uno strumento utile per operazioni AWS KMS nella tua funzione.
-
Crea una funzione Lambda che desideri assegnare come trigger del mittente personalizzato. Concedi al ruolo della funzione Lambda autorizzazioni
kms:Decrypt
per la chiave KMS. -
Concedi l'accesso
cognito-idp.amazonaws.com
al principale del servizio Amazon Cognito per richiamare la funzione Lambda. -
Scrivi il codice della funzione Lambda che indirizza i messaggi ai metodi di distribuzione personalizzati o a fornitori di terze parti. Per distribuire il codice di verifica o conferma dell'utente, Base64 decodifica e decrittografa il valore del parametro
code
nella richiesta. Questa operazione produce un codice o una password in testo normale da includere nel messaggio. -
Aggiorna il bacino d'utenza in modo che utilizzi un trigger Lambda del mittente personalizzato. Il principale IAM che aggiorna o crea un pool di utenti con un trigger del mittente personalizzato deve disporre dell'autorizzazione per creare una concessione per la tua chiave KMS. Il seguente frammento
LambdaConfig
assegna funzioni del mittente SMS ed e-mail personalizzate."LambdaConfig": { "KMSKeyID": "arn:aws:kms:
us-east-1
:123456789012
:key/a6c4f8e2-0c45-47db-925f-87854bc9e357
", "CustomEmailSender": { "LambdaArn": "arn:aws:lambda:us-east-1
:123456789012
:function:MyFunction
", "LambdaVersion": "V1_0" }, "CustomSMSSender": { "LambdaArn": "arn:aws:lambda:us-east-1
:123456789012
:function:MyFunction
", "LambdaVersion": "V1_0" }
Parametri del trigger Lambda del mittente di e-mail personalizzato
La richiesta passata da Amazon Cognito a questa funzione Lambda è una combinazione dei parametri seguenti e dei parametri comuni aggiunti da Amazon Cognito a tutte le richieste.
Parametri della richiesta del mittente di e-mail personalizzato
- type
-
La versione della richiesta. Per un evento del mittente di e-mail personalizzato, il valore di questa stringa è sempre
customEmailSenderRequestV1
. - code
-
Il codice crittografato che la funzione può decrittografare e inviare all'utente.
- clientMetadata
-
Una o più coppie chiave-valore che puoi fornire come input personalizzato al trigger della funzione Lambda del mittente di e-mail personalizzato. Per trasmettere questi dati alla funzione Lambda, usa il parametro ClientMetadata nelle operazioni API AdminRespondToAuthChallenge e RespondToAuthChallenge. Quando trasmette la richiesta alla funzione di post autenticazione, Amazon Cognito non include dati provenienti dal parametro ClientMetadata nelle operazioni API AdminInitiateAuth e InitiateAuth.
- userAttributes
-
Una o più coppie chiave-valore che rappresentano gli attributi utente.
Parametri di risposta del mittente di e-mail personalizzato
Amazon Cognito non prevede di restituire ulteriori informazioni nella risposta del mittente di e-mail personalizzato. La funzione può utilizzare le operazioni API per interrogare e modificare le risorse o registrare i metadati degli eventi in un sistema esterno.
Attivazione del trigger Lambda del mittente di e-mail personalizzato
Per impostare un trigger del mittente di e-mail personalizzato che utilizza la logica personalizzata per inviare messaggi e-mail per il bacino d'utenza, attiva il trigger come indicato di seguito. La procedura che segue assegna un trigger e-mail personalizzato, un trigger SMS personalizzato o entrambi al pool di utenti. Dopo che hai aggiunto il trigger del mittente e-mail personalizzato, Amazon Cognito invia sempre gli attributi utente, incluso l'indirizzo e-mail, e il codice di verifica alla funzione Lambda quando avrebbe altrimenti inviato un messaggio e-mail con Amazon Simple Email Service.
Importante
Amazon Cognito crea una sequenza di escape HTML di caratteri riservati come <
(<
) e >
(>
) nella password temporanea dell'utente. Questi caratteri potrebbero essere visualizzati nelle password temporanee inviate da Amazon Cognito alla funzione del mittente e-mail personalizzata, ma non vengono visualizzati nei codici di verifica temporanei. Per inviare password temporanee, la funzione Lambda deve eliminare questi caratteri dopo aver decrittografato la password e prima di inviare il messaggio all'utente.
-
Creare una chiave di crittografia in AWS KMS. Questa chiave cripta le password temporanee e i codici di autorizzazione generati da Amazon Cognito. Puoi quindi decrittografare questi segreti nella funzione Lambda del mittente personalizzato e inviarli all'utente come testo non crittografato.
-
Concedi al principale del servizio Amazon Cognito l'accesso
cognito-idp.amazonaws.com
per crittografare i codici con la chiave KMS.Applica la seguente policy basata sulle risorse alla chiave KMS.
{ "Version": "2012-10-17", "Statement": [{ "Effect": "Allow", "Principal": { "Service": "cognito-idp.amazonaws.com" }, "Action": "kms:CreateGrant", "Resource": "arn:aws:kms:
us-west-2
:111222333444
:key/1example-2222-3333-4444-999example
", "Condition": { "StringEquals": { "aws:SourceAccount": "111222333444
" }, "ArnLike": { "aws:SourceArn": "arn:aws:cognito-idp:us-west-2
:111222333444
:userpool/us-east-1_EXAMPLE
" } } }] } -
Crea una funzione Lambda per il trigger del mittente personalizzato. Amazon Cognito utilizza l'SDK di crittografia AWS per crittografare i segreti, le password temporanee e i codici di autorizzazione delle richieste API degli utenti.
-
Assegna alla funzione Lambda un ruolo IAM che disponga, almeno, delle autorizzazioni
kms:Decrypt
per la tua chiave KMS.
-
-
Concedi l'accesso
cognito-idp.amazonaws.com
al principale del servizio Amazon Cognito per richiamare la funzione Lambda.Il comando della AWS CLI seguente concede ad Amazon Cognito l'autorizzazione per invocare la funzione Lambda:
aws lambda add-permission --function-name
lambda_arn
--statement-id "CognitoLambdaInvokeAccess
" --action lambda:InvokeFunction --principal cognito-idp.amazonaws.com -
Componi il codice della funzione Lambda per inviare i tuoi messaggi. Amazon Cognito utilizza AWS Encryption SDK per crittografare i segreti prima che vengano inviati da Amazon Cognito alla funzione Lambda del mittente personalizzato. Nella tua funzione, esegui la decrittografia del segreto ed elabora tutti i metadati pertinenti. Quindi invia il codice, il messaggio personalizzato e il numero di telefono di destinazione all'API personalizzata che distribuisce il messaggio.
-
Aggiungi AWS Encryption SDK alla tua funzione Lambda. Per ulteriori informazioni, consulta la sezione relativa ai linguaggi di programmazione di SDK di crittografia AWS. Per aggiornare il pacchetto Lambda, completa la procedura seguente.
-
Esporta la funzione Lambda come file .zip in AWS Management Console.
-
Apri la funzione e aggiungi AWS Encryption SDK. Per ulteriori informazioni e i link di download, consulta la sezione relative ai linguaggi di programmazione di AWS Encryption SDK nella Guida per gli sviluppatori di AWS Encryption SDK.
-
Comprimi la funzione con le dipendenze dell'SDK e carica la funzione in Lambda. Per ulteriori informazioni, consulta Distribuzione di funzioni Lambda come archivi di file .zip nella Guida per gli sviluppatori di AWS Lambda.
-
-
Aggiorna il pool di utenti per aggiungere trigger Lambda del mittente personalizzati. Includi un parametro
CustomSMSSender
oCustomEmailSender
in una richiesta APIUpdateUserPool
. L'operazione APIUpdateUserPool
richiede tutti i parametri del pool di utenti e i parametri che desideri modificare. Se non fornisci tutti i parametri rilevanti, Amazon Cognito imposta i valori di tutti i parametri mancanti sui valori predefiniti. Come illustrato nell'esempio che segue, includi le voci per tutte le funzioni Lambda che desideri aggiungere o mantenere nel tuo pool di utenti. Per ulteriori informazioni, consulta Aggiornamento della configurazione del pool di utenti.#Send this parameter in an 'aws cognito-idp update-user-pool' CLI command, including any existing #user pool configurations. --lambda-config "PreSignUp=
lambda-arn
, \ CustomSMSSender={LambdaVersion=V1_0,LambdaArn=lambda-arn
}, \ CustomEmailSender={LambdaVersion=V1_0,LambdaArn=lambda-arn
}, \ KMSKeyID=key-id
"
Per rimuovere un trigger Lambda del mittente personalizzato con una update-user-pool
AWS CLI, ometti il parametro CustomSMSSender
o CustomEmailSender
da --lambda-config
e includi tutti gli altri trigger che desideri utilizzare con il pool di utenti.
Per rimuovere un trigger Lambda del mittente personalizzato con una richiesta API UpdateUserPool
, ometti il parametro CustomSMSSender
o CustomEmailSender
dal corpo della richiesta contenente il resto della configurazione del pool di utenti.
Esempio di codice
Nel seguente esempio Node.js viene illustrato come elaborare un evento di messaggio e-mail nella funzione Lambda del mittente di e-mail personalizzata. Per questo esempio si presuppone che la funzione abbia due variabili d'ambiente definite.
KEY_ALIAS
-
L'alias della chiave KMS che desideri utilizzare per crittografare e decrittografare i codici degli utenti.
KEY_ARN
-
Il nome della risorsa Amazon (ARN) della chiave KMS che desideri utilizzare per crittografare e decrittografare i codici degli utenti.
const AWS = require('aws-sdk'); const b64 = require('base64-js'); const encryptionSdk = require('@aws-crypto/client-node'); //Configure the encryption SDK client with the KMS key from the environment variables. const { encrypt, decrypt } = encryptionSdk.buildClient(encryptionSdk.CommitmentPolicy.REQUIRE_ENCRYPT_ALLOW_DECRYPT); const generatorKeyId = process.env.KEY_ALIAS; const keyIds = [ process.env.KEY_ARN ]; const keyring = new encryptionSdk.KmsKeyringNode({ generatorKeyId, keyIds }) exports.handler = async (event) => { //Decrypt the secret code using encryption SDK. let plainTextCode; if(event.request.code){ const { plaintext, messageHeader } = await decrypt(keyring, b64.toByteArray(event.request.code)); plainTextCode = plaintext } //PlainTextCode now contains the decrypted secret. if(event.triggerSource == 'CustomEmailSender_SignUp'){ //Send an email message to your user via a custom provider. //Include the temporary password in the message. } else if(event.triggerSource == 'CustomEmailSender_ResendCode'){ } else if(event.triggerSource == 'CustomEmailSender_ForgotPassword'){ } else if(event.triggerSource == 'CustomEmailSender_UpdateUserAttribute'){ } else if(event.triggerSource == 'CustomEmailSender_VerifyUserAttribute'){ } else if(event.triggerSource == 'CustomEmailSender_AdminCreateUser'){ } else if(event.triggerSource == 'CustomEmailSender_AccountTakeOverNotification'){ } return; };
Origini dei trigger Lambda del mittente di e-mail personalizzato
La tabella che segue mostra gli eventi di attivazione per le origini dei trigger delle e-mail personalizzate nel codice Lambda.
TriggerSource value |
Evento |
---|---|
CustomEmailSender_SignUp |
Un utente si registra e Amazon Cognito invia un messaggio di benvenuto. |
CustomEmailSender_ForgotPassword |
Un utente richiede un codice per reimpostare la password. |
CustomEmailSender_ResendCode |
Un utente richiede un codice sostitutivo per reimpostare la password. |
CustomEmailSender_UpdateUserAttribute |
Un utente aggiorna un indirizzo e-mail o un numero di telefono e Amazon Cognito gli invia un codice per verificare l'attributo. |
CustomEmailSender_VerifyUserAttribute |
Un utente crea un nuovo attributo indirizzo e-mail o numero di telefono e Amazon Cognito gli invia un codice per verificare l'attributo. |
CustomEmailSender_AdminCreateUser |
Crei un nuovo utente nel tuo bacino d'utenza e Amazon Cognito gli invia una password temporanea. |
CustomEmailSender_AccountTakeOverNotification |
Amazon Cognito rileva il tentativo di prendere il controllo di un account utente e invia una notifica all'utente. |