Controle de acesso com base em perfil

Os grupos de identidade do Amazon Cognito atribuem aos usuários autenticados um conjunto de credenciais temporárias com privilégios limitados para acessar seus recursos. AWS As permissões para cada usuário são controladas por meio das funções do IAM que você cria. É possível definir regras para escolher a função de cada usuário com base em reivindicações no token de ID do usuário. Você pode definir uma função padrão para usuários autenticados. Você também pode definir uma função do IAM separada com permissões limitadas para usuários convidados que não são autenticados.

Como criar funções para mapeamento de função

É importante adicionar a política de confiança apropriada para cada função para que ela só possa ser assumida pelo Amazon Cognito para os usuários autenticados no grupo de identidades. Aqui está um exemplo dessa política de confiança:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "Federated": "cognito-identity.amazonaws.com"
      },
      "Action": "sts:AssumeRoleWithWebIdentity",
      "Condition": {
        "StringEquals": {
          "cognito-identity.amazonaws.com:aud": "us-east-1:12345678-corner-cafe-123456790ab"
        },
        "ForAnyValue:StringLike": {
          "cognito-identity.amazonaws.com:amr": "authenticated"
        }
      }
    }
  ]
}

Essa política permite que os usuários federados do cognito-identity.amazonaws.com (o emissor do token do OpenID Connect) assumam essa função. Além disso, a política restringe o aud do token, neste caso o ID do grupo de identidades, de acordo com o grupo de identidades. Por fim, a política especifica que um dos membros da matriz do da declaração amr de múltiplo valor do token emitido pela ação da API GetOpenIdToken do Amazon Cognito tem o valor authenticated.

Conceder permissão para perfil de transmissão

Para permitir que um usuário configure perfis com permissões além das já existentes para o usuário em um grupo de identidades, conceda a ele a permissão iam:PassRole para transmitir o perfil à API set-identity-pool-roles. Por exemplo, se o usuário não pode gravar no Amazon S3, mas a função do IAM que o usuário configurou no grupo de identidades concede permissão de gravação no Amazon S3, o usuário só pode configurar essa função se a permissão iam:PassRole for concedida para a função. O exemplo a seguir mostra como conceder a permissão iam:PassRole.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Stmt1",
            "Effect": "Allow",
            "Action": [
                "iam:PassRole"
            ],
            "Resource": [
                "arn:aws:iam::123456789012:role/myS3WriteAccessRole"
            ]
        }
    ]
}

Neste exemplo de política, a permissão iam:PassRole é concedida para a função myS3WriteAccessRole. A função é especificada usando o nome do recurso da Amazon (ARN) da função. Também é necessário anexar essa política ao usuário. Para obter mais informações, consulte Como trabalhar com políticas gerenciadas.

nota

As funções Lambda usam política baseada em recursos, em que a política é anexada diretamente à própria função do Lambda. Ao criar uma regra que invoca uma função do Lambda, você não transmite uma função. Assim, o usuário que está criando a regra não precisa da permissão do iam:PassRole. Para obter mais informações sobre a autorização de funções Lambda, consulte Gerenciar permissões: Usar uma política da função do Lambda.

Como usar tokens para atribuir funções a usuários

Para os usuários que fazem login por meio de grupos de usuários do Amazon Cognito, as funções podem ser passadas no token de ID que foi atribuído pelo grupo de usuários. As funções são exibidas nas seguintes solicitações no token de ID:

• A solicitação cognito:preferred_role é o nome de região da Amazon (ARN) da função.

• A solicitação cognito:roles é uma string separada por vírgulas que contém um conjunto de ARNs de função permitidos.

As solicitações são configuradas da seguinte forma:

• A solicitação cognito:preferred_role é configurada como a função do grupo com o melhor (menor) valor Precedence. Se há somente uma função permitida, cognito:preferred_role é configurado para essa função. Se há várias funções e nenhuma função única tem a melhor precedência, essa solicitação não é configurada.

• A solicitação cognito:roles é configurada se há pelo menos uma função.

Ao usar tokens para atribuir funções, se houver várias funções que podem ser atribuídas ao usuário, os grupos de identidades do Amazon Cognito (identidades federadas) escolherão a função da seguinte forma:

• Use o GetCredentialsForIdentityCustomRoleArnparâmetro se ele estiver definido e corresponder a uma função na cognito:roles declaração. Se esse parâmetro não corresponde a uma função em cognito:roles, negue o acesso.

• Se a solicitação cognito:preferred_role está configurada, use-a.

• Se a cognito:preferred_role declaração não estiver definida, a cognito:roles declaração será definida e CustomRoleArn não especificada na chamada paraGetCredentialsForIdentity, a configuração de resolução de função no console ou no AmbiguousRoleResolution campo (no RoleMappings parâmetro da SetIdentityPoolRolesAPI) será usada para determinar a função a ser atribuída.

Como usar mapeamento baseado em regras para atribuir funções a usuários

As regras permitem que você mapeie solicitações de um token de provedor de identidades para perfis do IAM.

Cada regra especifica uma solicitação de token (como um atributo de usuário no token de ID de um grupo de usuários do Amazon Cognito), o tipo de correspondência, um valor e uma função do IAM. O tipo de correspondência pode ser Equals, NotEqual, StartsWith ou Contains. Se um usuário tem um valor correspondente para a solicitação, pode assumir essa função quando recebe credenciais. Por exemplo, é possível criar uma regra que atribui uma função do IAM específica para usuários com um valor de atributo personalizado custom:dept de Sales.

nota

Nas configurações da regra, os atributos personalizados exigem o prefixo custom: para diferenciá-los dos atributos padrão.

As regras são avaliadas em ordem, e a função do IAM para a primeira regra de correspondência é usada, a menos que CustomRoleArn seja especificado para substituir a ordem. Para obter mais informações sobre atributos de usuário em grupos de usuários do Amazon Cognito, consulte Atributos de grupo de usuários.

Você pode definir várias regras para um provedor de autenticação no console do grupo de identidades (identidades federadas). As regras são aplicadas em ordem. É possível arrastar as regras para alterar a ordem. A primeira regra de correspondência tem precedência. Se o tipo de correspondência é NotEqual e a solicitação não existe, a regra não é avaliada. Se não houver correspondência com nenhuma regra, a configuração Resolução de perfil será aplicada a Usar perfil autenticado padrão ou Negar solicitação.

Na API e na CLI, você pode especificar a função a ser atribuída quando nenhuma regra coincide no AmbiguousRoleResolution campo do RoleMappingtipo, que é especificado no RoleMappings parâmetro da SetIdentityPoolRolesAPI.

Você pode configurar o mapeamento baseado em regras para OpenID Connect (OIDC) e provedores de identidade SAML na API AWS CLI ou com o campo do tipo. RulesConfiguration RoleMapping Você pode especificar esse campo no RoleMappings parâmetro da SetIdentityPoolRolesAPI. AWS Management Console Atualmente, o não permite que você adicione regras para provedores OIDC ou SAML.

Por exemplo, o AWS CLI comando a seguir adiciona uma regra que atribui a função arn:aws:iam::123456789012:role/Sacramento_team_S3_admin aos usuários em sua localização em Sacramento que foram autenticados pelo OIDC IdP: arn:aws:iam::123456789012:oidc-provider/myOIDCIdP

aws cognito-identity set-identity-pool-roles --region us-east-1 --cli-input-json file://role-mapping.json

Conteúdo de role-mapping.json:

{
    "IdentityPoolId": "us-east-1:12345678-corner-cafe-123456790ab",
    "Roles": {
        "authenticated": "arn:aws:iam::123456789012:role/myS3WriteAccessRole",
        "unauthenticated": "arn:aws:iam::123456789012:role/myS3ReadAccessRole"
    },
    "RoleMappings": {
        "arn:aws:iam::123456789012:oidc-provider/myOIDCIdP": {
            "Type": "Rules",
            "AmbiguousRoleResolution": "AuthenticatedRole",
            "RulesConfiguration": {
                "Rules": [
                    {
                        "Claim": "locale",
                        "MatchType": "Equals",
                        "Value": "Sacramento",
                        "RoleARN": "arn:aws:iam::123456789012:role/Sacramento_team_S3_admin"
                    }
                ]
            }
        }
    }
}

Para cada grupo de usuários ou outro provedor de autenticação configurado para um grupo de identidades, é possível criar até 25 regras. Este limite não é ajustável. Para obter mais informações, consulte Cotas no Amazon Cognito.

Declarações de token para uso em mapeamento baseado em regras

Amazon Cognito

Um token de ID do Amazon Cognito é representado como um token web JSON (JWT). O token contém solicitações sobre a identidade do usuário autenticado, como name, family_name e phone_number. Para obter mais informações sobre solicitações padrão, consulte a especificação OpenID Connect. Além das solicitações padrão, os itens a seguir são as solicitações adicionais específicas para o Amazon Cognito:

• cognito:groups

• cognito:roles

• cognito:preferred_role

Amazon

As solicitações a seguir, juntamente com valores possíveis para essas solicitações, podem ser usadas com o Login with Amazon:

• iss: www.amazon.com

• aud: ID do aplicativo

• sub: sub do token do Login with Amazon

Facebook

As solicitações a seguir, juntamente com valores possíveis para essas solicitações, podem ser usadas com o Facebook:

• iss: graph.facebook.com

• aud: ID do aplicativo

• sub: sub do token do Facebook

Google

Um token do Google contém solicitações padrão da especificação do OpenID Connect. Todas as solicitações no token do OpenID estão disponíveis para mapeamento com base em regras. Consulte o site do OpenID Connect do Google para saber mais sobre as solicitações disponíveis no token do Google.

Apple

Um token da Apple contém solicitações padrão da especificação do OpenID Connect. Consulte Authenticating Users with Sign in with Apple na documentação da Apple para saber mais sobre a solicitação disponível no token da Apple. O token da Apple nem sempre contém email.

OpenID

Todas as solicitações no token do OpenID estão disponíveis para mapeamento com base em regras. Para obter mais informações sobre solicitações padrão, consulte a especificação OpenID Connect. Consulte a documentação do provedor do OpenID para saber mais sobre as solicitações adicionais disponíveis.

SAML

As solicitações são analisadas a partir da declaração do SAML recebida. Todas as solicitações disponíveis na declaração do SAML podem ser usadas no mapeamento com base em regras.

Práticas recomendadas para controle de acesso baseado em função

Importante

Se a solicitação que você está mapeando para uma função pode ser modificada pelo usuário final, qualquer usuário final pode assumir a função e definir a política de acordo com a necessidade. Somente mapeie as solicitações que não podem ser configuradas diretamente pelo usuário final para funções com permissões elevadas. Em um grupo de usuários do Amazon Cognito, é possível configurar permissões de leitura e gravação por aplicação para cada atributo de usuário.

Importante

Se você configura funções para grupos em um grupo de usuários do Amazon Cognito, essas funções são transmitidas por meio do token de ID do usuário. Para usar essas funções, também é necessário configurar Choose role from token para a seleção de função autenticada para o grupo de identidades.

Você pode usar a configuração de resolução de função no console e o RoleMappings parâmetro da SetIdentityPoolRolesAPI para especificar qual é o comportamento padrão quando a função correta não pode ser determinada a partir do token.