호스팅 UI를 사용하여 앱 클라이언트 추가

사용자 풀을 생성한 후 호스팅 UI의 기본 제공 웹 페이지를 가져오는 애플리케이션용 앱 클라이언트를 생성할 수 있습니다. 호스팅 UI에서 사용자는 다음을 수행할 수 있습니다.

Amazon Cognito 사용자 풀을 생성한 후 다음 단계는 앱 클라이언트를 설정하는 것입니다. 앱 클라이언트는 하나의 애플리케이션에 대한 사용자 풀 설정입니다. 이 애플리케이션은 호스팅 UI, 사용자 풀에 대한 SDK 요청 API또는 둘 다로 사용자를 인증할 수 있습니다. 이 경우 호스팅 UI 및 OAuth 2.0 권한 부여 서버에 대한 앱 클라이언트를 구성합니다. 호스팅 UI는 가입, 로그인, 암호 재설정 및 다중 인증과 같은 일반적인 사용자 인증 흐름을 처리하는 웹 페이지 모음입니다.

호스팅 UI를 활성화하면 OAuth 2.0 권한 부여 서버도 활성화됩니다. 권한 부여 서버는 OpenID Connect(OIDC) 및 OAuth 2.0 인증 흐름을 처리합니다. 작업에는 사용자 계정 쿼리, 토큰 발급, 외부 자격 증명 공급자와의 통합이 포함됩니다. 호스팅 UI 및 권한 부여 서버는 사용자 지정 UI 생성 수준을 제한하려는 애플리케이션과 애플리케이션이 OIDC 자격 증명 공급자와 가장 잘 작동하는 애플리케이션에서 가장 잘 작동합니다.

다음은 호스팅 UI 및 권한 부여 서버의 몇 가지 기능입니다.

호스팅 UI 앱 클라이언트 전용 기능

• 타사 자격 증명 공급자로 로그인합니다.

• machine-to-machine (M2M) 액세스 토큰을 요청합니다.

호스팅된 UI와 SDK기반 앱 클라이언트 간에 공유되는 기능

• 사용자 프로필 에 가입합니다.

• 다중 인증 을 사용하거나 사용하지 않고 로그인합니다. 사용자 풀MFA에 추가

• 사용자가 암호를 재설정하고, 새 사용자 계정을 확인하고, 이메일 주소 및 전화번호 속성 을 확인할 수 있도록 허용합니다. 사용자 계정 확인 개요 이메일 또는 전화 확인 구성

• 속성 정보 에 대한 사용자 액세스 토큰을 교환합니다. 이는 를 사용하는 SDK기반 애플리케이션에서도 가능합니다GetUser.

호스팅 UI 로그인을 위한 앱 클라이언트를 생성하려면

1. Amazon Cognito 콘솔로 이동합니다. 메시지가 표시되면 AWS 자격 증명을 입력합니다.

2. [사용자 풀(User Pools)]을 선택합니다.

3. 목록에서 기존 사용자 풀을 선택하거나 사용자 풀을 생성합니다. 새 사용자 풀을 생성하는 경우 마법사 중에 앱 클라이언트를 설정하고 호스트된 UI를 구성하라는 메시지가 표시됩니다.

4. 사용자 풀의 [앱 통합(App integration)] 탭을 선택합니다.

5. 도메인 옆의 작업을 선택한 다음, 사용자 지정 도메인 생성 또는 Amazon Cognito 도메인 생성을 선택합니다. 사용자 풀 도메인을 이미 구성한 경우 새 사용자 지정 도메인을 생성하기 전에 Amazon Cognito 도메인 삭제 또는 사용자 지정 도메인 삭제를 선택합니다.

6. Amazon Cognito 도메인에서 사용할 사용 가능한 도메인 접두사를 입력합니다. 사용자 지정 도메인을 설정하는 방법에 대한 자세한 내용은 호스팅 UI에 고유한 도메인 사용을 참조하세요.

7. 생성(Create)을 선택합니다.

8. 동일한 사용자 풀에 대한 [앱 통합(App integration)] 탭으로 다시 이동한 다음, [앱 클라이언트(App clients)]를 찾습니다. [앱 클라이언트 생성(Create an app client)]을 선택합니다.

9. [애플리케이션 유형(Application type)]을 선택합니다. 선택 내용에 따라 몇 가지 권장 설정이 제공됩니다. 호스트된 UI를 사용하는 앱은 퍼블릭 클라이언트입니다.

10. [앱 클라이언트 이름(App client name)]을 입력합니다.

11. 이 연습에서는 [클라이언트 암호 생성 안 함(Don't generate client secret)]을 선택합니다. 클라이언트 암호는 중앙 집중식 애플리케이션에서 사용자를 인증하는 기밀 앱에서 사용됩니다. 이 연습에서는 사용자에게 호스트된 UI 로그인 페이지를 제공하며 클라이언트 암호가 필요하지 않습니다.

12. 앱으로 허용할 인증 흐름을 선택합니다. USER_SRP_AUTH가 선택되었는지 확인합니다.

13. 필요에 따라 [토큰 만료(token expiration)], [고급 보안 구성(Advanced security configuration)], [속성 읽기 및 쓰기 권한(Attribute read and write permissions)]을 사용자 정의합니다. 자세한 내용은 앱 클라이언트 설정 구성을 참조하세요.

14. 앱 클라이언트에 대한 콜백을 추가합니다URL. 호스트된 UI 인증 후에 여기로 이동됩니다. 앱에서 로그아웃을 구현할 수 있을 때까지 허용된 URL 로그아웃을 추가할 필요가 없습니다.

    iOS 또는 Android 앱의 경우 URL와 같은 콜백을 사용할 수 있습니다myapp://.

15. 앱 클라이언트의 [자격 증명 공급자(Identity providers)]를 선택합니다. 최소한 공급자로 Amazon Cognito 사용자 풀을 사용하도록 설정합니다.

    참고

    Facebook, Amazon, Google, Apple과 같은 외부 자격 증명 공급자(IdPs)와 OpenID Connect(OIDC) 또는 를 통해 로그인하려면 SAML IdPs먼저 타사를 통해 사용자 풀 로그인 추가 에 표시된 대로 구성합니다. 그런 다음 앱 클라이언트 설정 페이지로 돌아가 활성화합니다.

16. OAuth 2.0 권한 부여 유형 을 선택합니다. Authorization code grant(인증 코드 권한 부여)를 선택하여 사용자 풀 토큰으로 교환되는 인증 코드를 반환합니다. 토큰은 최종 사용자에게 직접 노출되지 않기 때문에 침해될 가능성이 낮습니다. 하지만 사용자 풀 토큰에 대한 인증 코드를 교환하려면 백엔드에 사용자 지정 애플리케이션이 필요합니다. 보안상의 이유로 모바일 앱에 인증 코드 부여 흐름을 코드 교환용 Proof Key(PKCE)와 함께 사용하는 것이 좋습니다.

    암시적 부여를 선택하여 Amazon Cognito 에서 사용자 풀 JSON 웹 토큰(JWT)을 반환하도록 합니다. Amazon Cognito 토큰에 대한 인증 코드를 교환할 수 있는 백엔드가 없을 때 이 흐름을 사용할 수 있습니다. 또한 토큰 디버깅에도 유용합니다.

    참고

    Authorization code grant(인증 코드 권한 부여) 및 Implicit code grant(암시적 코드 부여)를 모두 활성화하고 각각을 필요한 경우 사용할 수 있습니다.

    사용자를 대신해서가 아니라 자체적으로 액세스 토큰을 요청해야 하는 경우에만 Client credentials(클라이언트 자격 증명)를 선택합니다.

17. 구체적으로 하나를 제외하려는 경우가 아니면 모든 OpenID Connect 범위(OpenID Connect scopes)를 선택합니다.

18. 구성한 사용자 지정 범위를 선택합니다. 사용자 정의 범위는 일반적으로 기밀 클라이언트에서 사용됩니다.

19. 생성(Create)을 선택합니다.

로그인 페이지를 보려면

앱 클라이언트 페이지 에서 호스팅된 UI 보기를 선택하여 앱 클라이언트 ID, 범위, 권한 부여 및 콜백 URL 파라미터가 미리 채워진 로그인 페이지에 대한 새 브라우저 탭을 엽니다.

다음 를 사용하여 호스팅 UI 로그인 웹 페이지를 수동으로 볼 수 있습니다URL. response_type을 기록합니다. 이 경우 response_type=code는 인증 코드 권한 부여입니다.

https://your_domain/login?response_type=code&client_id=your_app_client_id&redirect_uri=your_callback_url

response_type=token인 암시적 코드 부여에 URL 대해 다음을 사용하여 호스팅된 UI 로그인 웹 페이지를 볼 수 있습니다. 로그인 성공 이후 Amazon Cognito는 사용자 풀 토큰을 웹 브라우저의 주소 표시줄로 반환합니다.

https://your_domain/login?response_type=token&client_id=your_app_client_id&redirect_uri=your_callback_url

응답의 #idtoken= 파라미터 뒤에 JSON 웹 토큰(JWT) 자격 증명 토큰이 있습니다.

다음은 암시적 권한 부여 요청의 샘플 응답URL입니다. 사용자의 자격 증명 토큰 문자열이 훨씬 더 길어집니다.

https://www.example.com/#id_token=123456789tokens123456789&expires_in=3600&token_type=Bearer  

Amazon Cognito 사용자 풀 토큰은 RS256 알고리즘을 사용하여 서명됩니다. 를 사용하여 사용자 풀 토큰을 디코딩하고 확인할 수 있습니다 AWS Lambda. 자세한 내용은 AWS GitHub 웹 사이트의 Amazon Cognito JWT 토큰 디코딩 및 확인을 참조하세요.

도메인 이름(Domain name) 페이지에 도메인이 표시됩니다. 앱 클라이언트 ID와 콜백URL은 일반 설정 페이지에 표시됩니다. 콘솔에서 변경한 내용이 즉시 표시되지 않으면 몇 분 정도 기다린 다음 브라우저를 새로 고칩니다.