Configurações de mensagens SMS para grupos de usuários do Amazon Cognito

Alguns eventos do Amazon Cognito para seu grupo de usuários podem fazer com que o Amazon Cognito envie mensagens de texto SMS para eles. Por exemplo, se você configurar o grupo de usuários para exigir verificação de telefone, o Amazon Cognito enviará um e-mail quando um usuário se cadastrar em uma nova conta na aplicação ou redefinir a senha. Dependendo da ação que inicia a mensagem de texto SMS, a mensagem contém um código de verificação, uma senha temporária ou uma mensagem de boas-vindas.

O Amazon Cognito usa o Amazon Simple Notification Service (Amazon SNS) para a entrega de mensagens de texto SMS. Se você estiver enviando uma mensagem de texto por meio do Amazon Cognito ou do Amazon SNS pela primeira vez, o Amazon SNS o colocará em um ambiente de área restrita para testes. No ambiente de área restrita para testes, você pode testar suas aplicações para mensagens de texto SMS. Na área restrita para testes, as mensagens só podem ser enviadas para números de telefone verificados.

O Amazon SNS cobra por mensagens de texto SMS. Para obter mais informações, consulte Definição de preço do Amazon SNS.

nota

Devido ao volume de tráfego de SMS não solicitado ao redor do mundo, alguns governos impõem barreiras entre os remetentes e os destinatários das mensagens SMS. Ao usar mensagens SMS para MFA e atualizações de usuários, você deve tomar medidas adicionais para garantir que suas mensagens sejam entregues. Você também deve monitorar SMS-message-related as regulamentações nos países em que seus usuários possam morar e manter sua configuração de mensagens SMS atualizada. Para ter mais informações, consulte Mensagens de texto móveis (SMS) no Guia do desenvolvedor do Amazon Simple Notification Service.

O uso de mensagens SMS para autenticar e verificar usuários não é uma prática recomendada de segurança. Os números de telefone podem mudar de proprietário e podem não representar de maneira confiável o fator de MFA algo que você tem para seus usuários. Em vez disso, implemente a MFA TOTP na aplicação ou com um IdP de terceiros. Você também pode criar outros fatores de autenticação personalizados com Acionadores do Lambda de desafio personalizado de autenticação.

O Amazon Cognito envia mensagens SMS aos usuários com um código a ser inserido. A tabela a seguir mostra os eventos que podem gerar uma mensagem SMS.

Opções de mensagem

Atividade	Operação de API	Opções de entrega	Opções de formato	Personalizável	Modelo de mensagem
Esqueci a senha	ForgotPassword, AdminResetUserPassword	E-mail, SMS	código	Não	N/D
Convite	AdminCreateUser	E-mail, SMS	código	Sim	Mensagem de convite
Autorregistro	SignUp, ResendConfirmationCode	E-mail, SMS	código, link	Sim	Mensagem de verificação
Verificação de endereço de e-mail ou número de telefone	UpdateUserAttributes, AdminUpdateUserAttributes, GetUserAttributeVerificationCode	E-mail, SMS	código	Sim	Mensagem de verificação
Autenticação multifator (MFA)	AdminInitiateAuth, InitiateAuth	SMS, aplicativo autenticador	código	Sim¹	Mensagem de MFA

¹ Para mensagens SMS.

Configurar mensagens SMS pela primeira vez nos grupos de usuários do Amazon Cognito

O Amazon Cognito usa o Amazon SNS para enviar mensagens SMS para seus grupos de usuários. Você também pode usar um Acionador do Lambda de remetente personalizado de SMS para utilizar seus próprios recursos para enviar mensagens SMS. Na primeira vez que você configura o Amazon SNS para enviar mensagens de texto SMS em uma determinada região Região da AWS, o Amazon SNS coloca Conta da AWS você na sandbox de SMS dessa região. O Amazon SNS usa a sandbox para evitar fraudes e abusos e para atender aos requisitos de conformidade. Quando você Conta da AWS está na sandbox, o Amazon SNS impõe algumas restrições. Por exemplo, você pode enviar mensagens de texto para até dez números de telefone verificados com o Amazon SNS. Enquanto você Conta da AWS permanecer na sandbox, não use a configuração do Amazon SNS para aplicativos que estão em produção. Quando você está na área restrita para testes, o Amazon Cognito não pode enviar mensagens para os números de telefone dos seus usuários.

Para enviar mensagens de texto SMS para usuários do grupo de usuários

1. Prepare um perfil do IAM que o Amazon Cognito possa usar para enviar mensagens SMS com o Amazon SNS

2. Escolha o Região da AWS para mensagens SMS do Amazon SNS

3. Obter uma identidade de origem para enviar mensagens SMS a números de telefone dos EUA

4. Confirmar se você está na sandbox SMS

5. Retirar sua conta da sandbox do Amazon SNS

6. Verificar os números de telefone do Amazon Cognito no Amazon SNS

7. Concluir a configuração do grupo de usuários no Amazon Cognito

Prepare um perfil do IAM que o Amazon Cognito possa usar para enviar mensagens SMS com o Amazon SNS

Quando você envia uma mensagem SMS de seu grupo de usuários, o Amazon Cognito assume um perfil do IAM em sua conta. O Amazon Cognito usa a permissão sns:Publish atribuída a esse perfil para enviar mensagens SMS aos usuários. No console do Amazon Cognito, você pode definir uma seleção de função do IAM no menu Métodos de autenticação do seu grupo de usuários, em SMS, ou fazer essa seleção durante o assistente de criação do grupo de usuários.

A política de confiança do perfil do IAM de exemplo a seguir concede aos grupos de usuários do Amazon Cognito uma capacidade limitada para assumir uma função. O Amazon Cognito só pode assumir a função quando atende às seguintes condições:

• A operação assume-role está em nome do grupo de usuários na condição aws:SourceArn.

• A operação assume-role está em nome de um grupo de usuários na Conta da AWS definida pela condição aws:SourceAccount.

• A operação assume-role inclui o ID externo na condição sts:externalId.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "",
            "Effect": "Allow",
            "Principal": {
                "Service": "cognito-idp.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "sts:ExternalId": "a1b2c3d4-5678-90ab-cdef-EXAMPLE22222",
                    "aws:SourceAccount": "111122223333"
                },
                "ArnLike": {
                    "aws:SourceArn": "arn:aws:cognito-idp:us-west-2:111122223333:userpool/us-west-2_EXAMPLE"
                }
            }
        }
    ]
}

Você pode especificar um ARN do grupo de usuários exato ou um ARN curinga no valor da condição aws:SourceArn. Pesquise seus grupos ARNs de usuários no AWS Management Console ou com uma solicitação de DescribeUserPoolAPI.

Para enviar mensagens SMS para autenticação multifator, sua política de confiança do perfil do IAM deve ter uma condição sts:ExternalId. O valor dessa condição deve corresponder à ExternalId propriedade SmsConfigurationdo seu grupo de usuários. Quando você cria um perfil do IAM durante o processo de criação do grupo de usuários no console do Amazon Cognito, o Amazon Cognito configura o ID externo para você no perfil e nas configurações do grupo de usuários. Isso não acontece quando você usa um perfil do IAM existente.

Você deve atualizar o ExternalId parâmetro do grupo de usuários em uma solicitação de UpdateUserPoolAPI e atualizar a política de confiança da função do IAM com uma sts:externalId condição com o mesmo valor. Para saber como usar a API para atualizar um grupo de usuários de forma a preservar a configuração original, consulte Como atualizar a configuração do grupo de usuários e do cliente da aplicação.

Para obter mais informações sobre políticas e perfis do IAM, consulte “Termos e conceitos das funções” no Guia do usuário do AWS Identity and Access Management .

Escolha o Região da AWS para mensagens SMS do Amazon SNS

Em alguns Regiões da AWS, você pode escolher a região que contém os recursos do Amazon SNS que você deseja usar para as mensagens SMS do Amazon Cognito. Em qualquer Região da AWS lugar em que o Amazon Cognito esteja disponível, exceto na Ásia-Pacífico (Seul), você pode usar os recursos do Amazon SNS no Região da AWS local em que criou seu grupo de usuários. Para tornar suas mensagens SMS mais rápidas e confiáveis quando você tiver uma opção de regiões, use os recursos do Amazon SNS na mesma região do grupo de usuários.

nota

No AWS Management Console, você só pode alterar a região dos recursos de SMS depois de mudar para a nova experiência de console do Amazon Cognito.

Escolha uma região para recursos de SMS na etapa Configurar a entrega de mensagens do novo assistente de grupo de usuários. Você também pode escolher Editar em SMS no menu Métodos de autenticação de um grupo de usuários existente.

No lançamento, para alguns Regiões da AWS, o Amazon Cognito enviou mensagens SMS com recursos do Amazon SNS em uma região alternativa. Para definir sua região preferida, use o SnsRegion parâmetro do SmsConfigurationTypeobjeto para seu grupo de usuários. Quando você cria programaticamente um recurso de grupos de usuários do Amazon Cognito em uma Amazon Cognito Region (Região do Amazon Cognito) descrita na tabela a seguir e não fornece um parâmetro SnsRegion, seu grupo de usuários envia mensagens SMS com recursos do Amazon SNS em uma Amazon SNS Region (Região do Amazon SNS) herdada.

Os grupos de usuários do Amazon Cognito na Ásia-Pacífico (Seul) Região da AWS devem usar sua configuração do Amazon SNS na região Ásia-Pacífico (Tóquio).

O Amazon SNS define a cota de gastos para todas as novas contas como USD 1,00 por mês. Você pode ter aumentado seu limite de gastos em um Região da AWS que você usa com o Amazon Cognito. Antes de alterar as Região da AWS mensagens SMS do Amazon SNS, abra um caso de aumento de cota no AWS Support Center para aumentar seu limite na nova região. Para obter mais informações, consulte Solicitar aumentos de sua cota de gastos mensais de SMS para o Amazon SNS no Guia do desenvolvedor do Amazon Simple Service Notification.

Você pode enviar mensagens SMS a qualquer Amazon Cognito Region (Região do Amazon Cognito) descrita na tabela a seguir com recursos do Amazon SNS na Amazon SNS Region (Região do Amazon SNS) correspondente.

Região do Amazon Cognito	Região do Amazon SNS
Leste dos EUA (Ohio)	Leste dos EUA (Ohio), Leste dos EUA (Norte da Virgínia)
Leste dos EUA (Norte da Virgínia)	Leste dos EUA (Norte da Virgínia)
Oeste dos EUA (Norte da Califórnia)	Oeste dos EUA (Norte da Califórnia)
Oeste dos EUA (Oregon)	Oeste dos EUA (Oregon)
Canadá (Central)	Canadá (Central), Leste dos EUA (Norte da Virgínia)
Oeste do Canadá (Calgary)	Oeste do Canadá (Calgary)
Europa (Frankfurt)	Europa (Frankfurt), Europa (Irlanda)
Europa (Londres)	Europa (Londres), Europa (Irlanda)
Europa (Irlanda)	Europa (Irlanda)
Europa (Paris)	Europa (Paris)
Europa (Estocolmo)	Europa (Estocolmo)
Europa (Milão)	Europa (Milão)
Europa (Espanha)	Europa (Espanha)
Europa (Zurique)	Europa (Zurique)
Ásia-Pacífico (Mumbai)	Ásia-Pacífico (Mumbai), Ásia-Pacífico (Singapura)
Ásia-Pacífico (Hyderabad)	Ásia-Pacífico (Hyderabad)
Ásia-Pacífico (Hong Kong)	Ásia-Pacífico (Singapura)
Ásia-Pacífico (Seul)	Ásia-Pacífico (Tóquio)
Ásia-Pacífico (Singapura)	Ásia-Pacífico (Singapura)
Ásia-Pacífico (Sydney)	Ásia-Pacífico (Sydney)
Ásia-Pacífico (Tóquio)	Ásia-Pacífico (Tóquio)
Ásia-Pacífico (Jacarta)	Ásia-Pacífico (Jacarta)
Ásia Pacifico (Osaka)	Asia Pacific (Osaka)
Ásia-Pacífico (Melbourne)	Ásia-Pacífico (Melbourne)
Oriente Médio (Bahrein)	Oriente Médio (Bahrein)
Oriente Médio (Emirados Árabes Unidos)	Oriente Médio (Emirados Árabes Unidos)
América do Sul (São Paulo)	América do Sul (São Paulo)
Israel (Tel Aviv)	Israel (Tel Aviv)
África (Cidade do Cabo)	África (Cidade do Cabo)

Obter uma identidade de origem para enviar mensagens SMS a números de telefone dos EUA

Se você pretende enviar mensagens de texto SMS para números de telefone dos EUA, deve obter uma identidade de origem, independentemente de criar um ambiente de área restrita para testes de SMS ou de um ambiente de produção.

Desde 1.º de junho de 2021, as operadoras americanas exigem uma identidade de origem para o envio de mensagens para números de telefone dos EUA. Se você ainda não tiver uma identidade de origem, deverá obter uma. Para saber como obter uma identidade de origem, consulte Requesting a number (Solicitar um número) no Guia do usuário do Amazon Pinpoint.

Se você operar da seguinte forma Regiões da AWS, deverá abrir um Suporte tíquete para obter uma identidade de origem. Para obter instruções, consulte Solicitar suporte para mensagens SMS no Guia do desenvolvedor do Amazon Simple Notification Service.

• Leste dos EUA (Ohio)

• Europa (Estocolmo)

• Europa (Paris)

• Europa (Milão)

• Oriente Médio (Bahrein)

• South America (São Paulo)

• Oeste dos EUA (Norte da Califórnia)

Quando você tem mais de uma identidade de origem na mesma Região da AWS, o Amazon SNS escolhe um tipo de identidade de origem na seguinte ordem de prioridade: código curto, 10DLC, número gratuito. Não é possível alterar essa prioridade. Para obter mais informações, consulte Amazon SNS FAQs.

Confirmar se você está na sandbox SMS

Use o procedimento a seguir para confirmar que você está na área restrita para testes de SMS. Repita o procedimento para cada um Região da AWS em que você tenha grupos de usuários de produção do Amazon Cognito.

Revise o status de área restrita para testes de SMS no console do Amazon Cognito.

Para confirmar que você está na área restrita para testes de SMS

1. Acesse o console do Amazon Cognito. Se solicitado, insira suas credenciais da AWS .

2. Escolha User Pools (Grupos de usuários).

3. Escolha um grupo de usuários existente da lista.

4. Escolha o menu Métodos de autenticação.

5. Na seção SMS configuration (Configuração do SMS), expanda Move to Amazon SNS production environment (Migrar para o ambiente de produção do Amazon SNS). Se sua conta estiver na área restrita para testes de SMS, você verá a seguinte mensagem:

   You are currently in the SMS Sandbox and cannot send SMS messages to unverified numbers.

   Se você não vir essa mensagem, significa que alguém já configurou mensagens SMS em sua conta. Vá para Concluir a configuração do grupo de usuários no Amazon Cognito.

6. Escolha o link Amazon SNS na mensagem. Isso abre o console do Amazon SNS em uma nova guia.

7. Verifique se você está no ambiente da área restrita para testes. A mensagem do console indica o status do seu sandbox e Região da AWS, da seguinte forma:

   This account is in the SMS sandbox in US East (N. Virginia).

Revise o status de área restrita para testes de SMS no console do Amazon Cognito.

Para confirmar que você está na área restrita para testes de SMS

1. Acesse o console do Amazon Cognito. Se solicitado, insira suas credenciais da AWS .

2. Escolha User Pools (Grupos de usuários).

3. Escolha um grupo de usuários existente da lista.

4. Escolha o menu Métodos de autenticação.

5. Na seção SMS configuration (Configuração do SMS), expanda Move to Amazon SNS production environment (Migrar para o ambiente de produção do Amazon SNS). Se sua conta estiver na área restrita para testes de SMS, você verá a seguinte mensagem:

   You are currently in the SMS Sandbox and cannot send SMS messages to unverified numbers.

   Se você não vir essa mensagem, significa que alguém já configurou mensagens SMS em sua conta. Vá para Concluir a configuração do grupo de usuários no Amazon Cognito.

6. Escolha o link Amazon SNS na mensagem. Isso abre o console do Amazon SNS em uma nova guia.

7. Verifique se você está no ambiente da área restrita para testes. A mensagem do console indica o status do seu sandbox e Região da AWS, da seguinte forma:

   This account is in the SMS sandbox in US East (N. Virginia).

Retirar sua conta da sandbox do Amazon SNS

Se você estiver testando seu aplicativo e só precisar enviar mensagens SMS para números de telefone que seus administradores possam verificar, ignore esta etapa.

Para usar sua aplicação em produção, mova sua conta da área restrita para testes de SMS para a produção. Depois de configurar uma identidade de origem na Região da AWS que contém os recursos do Amazon SNS que você deseja que o Amazon Cognito use, você pode verificar os números de telefone dos EUA enquanto permanece na sandbox do Conta da AWS SMS. Quando seu ambiente Amazon SNS está em produção, você não precisa verificar números de telefone de usuários no Amazon SNS para enviar mensagens SMS aos usuários.

Para obter instruções detalhadas, consulte Sair da sandbox de SMS no Guia do desenvolvedor do Amazon Simple Notification Service.

Verificar os números de telefone do Amazon Cognito no Amazon SNS

Se você tiver removido sua conta da área restrita para testes de SMS, ignore esta etapa.

Quando você estiver na área restrita para testes de SMS, poderá enviar mensagens para qualquer número de telefone verificado com o Amazon SNS.

Para verificar um número de telefone, faça o seguinte:

1. Adicione um número de telefone de destino da área restrita para testes à seção Text messaging (SMS) [Mensagens de texto (SMS)] do console do Amazon SNS.

2. Receba uma mensagem SMS com um código no número de telefone fornecido.

3. Digite o código de verificação na mensagem SMS no console do Amazon SNS.

Para obter instruções detalhadas, consulte Adicionar e verificar números de telefone na sandbox SMS no Guia do desenvolvedor do Amazon Simple Notification Service.

nota

O Amazon SNS limita o número de telefones de destino que você pode verificar enquanto estiver na área restrita para testes de SMS. Consulte Sandbox de SMS no Guia do desenvolvedor do Amazon Simple Notification Service.

Concluir a configuração do grupo de usuários no Amazon Cognito

Volte para a guia do navegador em que você estava criando ou editando seu grupo de usuários. Conclua o procedimento . Quando você adiciona com êxito a configuração de SMS ao seu grupo de usuários, o Amazon Cognito envia uma mensagem de teste para um número de telefone interno a fim de verificar se sua configuração funciona. O Amazon SNS cobra por toda mensagem SMS de teste.