自定义属性多租户最佳实践

Amazon Cognito 支持使用您选择的名称的自定义属性。自定义属性在一种情况下很有用，那就是当它们区分共享用户池中用户的租户时。当你为用户分配类似的属性的值时custom:tenantID，你的应用程序可以相应地分配对租户特定资源的访问权限。定义租户 ID 的自定义属性对应用程序客户端来说应该是不可变的或只读的。

下图显示租户共享应用程序客户端和用户池，用户池中的自定义属性表示他们所属的租户。

当自定义属性决定租赁时，您可以分发单个应用程序或登录URL信息。用户登录后，您的应用程序可以处理custom:tenantID索赔，确定要加载哪些资产、要应用的品牌以及要显示的功能。要根据用户属性做出高级访问控制决策，请在 Amazon Verified Permissions 中将您的用户池设置为身份提供商，然后根据身份或访问令牌的内容生成访问决策。

何时实施自定义属性多租户

当租赁是表面层面时。租户属性可以为品牌和布局结果做出贡献。当你想在租户之间实现显著隔离时，自定义属性并不是最佳选择。必须在用户池或应用程序客户端级别配置的租户之间的任何区别（例如MFA托管用户界面品牌）都要求您以自定义属性无法提供的方式在租户之间进行区分。使用身份池，您甚至可以从用户的 ID 令牌中的自定义属性声明中选择IAM角色。

工作量水平

由于自定义属性多租户将基于租户的授权决策的职责转移到您的应用程序上，因此工作量往往很高。如果您已经精通解析OIDC索赔的客户端配置或 Amazon Verified Permissions，那么这种方法可能需要最少的工作量。