Encerramento de sessões de usuário com revogação de token

Você pode revogar um token de atualização para um usuário usando os grupos de usuários API ou o servidor de autorização. Revogar endpoint Quando você revoga um token de atualização, todos os tokens de acesso que foram emitidos anteriormente por esse token de atualização se tornam inválidos. Os outros tokens de atualização emitidos para o usuário não são afetados.

nota

JWTos tokens são independentes com uma assinatura e um prazo de expiração que foram atribuídos quando o token foi criado. Os tokens revogados não podem ser usados com nenhuma chamada do Amazon API Cognito que exija um token. No entanto, os tokens revogados ainda serão válidos se forem verificados usando qualquer JWT biblioteca que verifique a assinatura e a expiração do token.

Antes de poder revogar um token para um cliente de grupo de usuários existente, você deve habilitar a revogação de token. Quando você cria um novo cliente do grupo de usuários, a revogação de token é habilitada por padrão.

Habilitar revogação de token

Antes de poder revogar um token para um cliente de grupo de usuários existente, você deve habilitar a revogação de token. Você pode habilitar a revogação de token para clientes de grupos de usuários existentes usando o AWS CLI ou o. AWS API Para fazer isso, chame o aws cognito-idp describe-user-pool-client CLI comando ou a DescribeUserPoolClient API operação para recuperar as configurações atuais do seu cliente de aplicativo. Em seguida, chame o aws cognito-idp update-user-pool-client CLI comando ou a UpdateUserPoolClient API operação. Inclua as configurações atuais do cliente de aplicação e defina o parâmetro EnableTokenRevocation como true.

Quando você cria um novo cliente de grupo de usuários usando o AWS Management Console, o ou o AWS CLI AWS API, a revogação do token é ativada por padrão.

Depois de ativar a revogação do token, novas reivindicações são adicionadas aos Tokens Web do Amazon JSON Cognito. As solicitações origin_jti e jti são adicionadas aos tokens de acesso e de ID. Essas solicitações aumentam o tamanho do acesso do cliente de aplicação e de tokens de ID.

Para criar ou modificar um cliente de aplicativo com a revogação de token ativada, inclua o seguinte parâmetro na sua solicitação CreateUserPoolClientou UpdateUserPoolClientAPI.

"EnableTokenRevocation": true

Revogar um token

Você pode revogar um token de atualização usando uma RevokeTokenAPIsolicitação, por exemplo, com o aws cognito-idp revoke-token CLI comando. Você também pode revogar tokens usando o Revogar endpoint. Esse endpoint fica disponível depois que você adiciona um domínio ao seu grupo de usuários. Você pode usar o endpoint de revogação em um domínio hospedado do Amazon Cognito ou no seu próprio domínio personalizado.

nota

A solicitação para revogar um token de atualização deve incluir ID do cliente que foi usado para obter o token.

Veja a seguir o corpo de um exemplo de RevokeToken API solicitação.

{
   "ClientId": "1example23456789",
   "ClientSecret": "abcdef123456789ghijklexample",
   "Token": "eyJjdHkiOiJKV1QiEXAMPLE"
}

Veja a seguir um exemplo de URL solicitação c para o /oauth2/revoke endpoint de um grupo de usuários com um domínio personalizado.

curl --location 'auth.mydomain.com/oauth2/revoke' \
--header 'Content-Type: application/x-www-form-urlencoded' \
--header 'Authorization: Basic Base64Encode(client_id:client_secret)' \
--data-urlencode 'token=abcdef123456789ghijklexample' \
--data-urlencode 'client_id=1example23456789'

A operação RevokeToken e o endpoint /oauth2/revoke não precisam de autorização adicional, a menos que o cliente de aplicação tenha um segredo de cliente.