如何通过AWS Cognito与IAM实现多角色管理及S3访问控制？

核心问题分析 #

Cognito身份池默认只会为用户分配一个关联角色（通常基于用户组优先级或匹配顺序），无法自动切换多个用户组对应的角色，因此需要通过自定义逻辑实现角色切换与权限管控。

可行解决方案 #

方案一：通过Cognito身份池自定义角色映射，手动指定角色ARN获取凭证 #

利用Cognito身份池的自定义角色映射功能，结合用户所属工厂的角色信息，前端可主动请求指定角色的临时凭证：

1. 配置身份池：在Cognito身份池的「身份验证提供程序」设置中开启「自定义角色映射」，允许通过用户组属性或自定义用户属性传递角色ARN。
2. 获取角色ARN：将每个工厂对应的IAM角色ARN存储在用户组描述字段或用户自定义属性中，通过后端接口安全返回给前端。
3. 手动请求凭证：使用AWS SDK直接调用Cognito Identity的getId和getCredentialsForIdentity接口，传入目标角色ARN获取临时凭证。

代码示例：

import { Auth } from 'aws-amplify';
import AWS from 'aws-sdk';

async function getS3ClientForFactory(roleArn) {
  const user = await Auth.currentAuthenticatedUser();
  const idToken = user.signInUserSession.idToken.jwtToken;
  const region = 'eu-west-3';
  const identityPoolId = 'YOUR_IDENTITY_POOL_ID';
  const userPoolId = 'YOUR_USER_POOL_ID';

  // 获取用户的IdentityId
  const identityIdResponse = await new AWS.CognitoIdentity({ region }).getId({
    IdentityPoolId: identityPoolId,
    Logins: {
      [`cognito-idp.${region}.amazonaws.com/${userPoolId}`]: idToken
    }
  }).promise();

  // 获取指定角色的临时凭证
  const credentialsResponse = await new AWS.CognitoIdentity({ region }).getCredentialsForIdentity({
    IdentityId: identityIdResponse.IdentityId,
    Logins: {
      [`cognito-idp.${region}.amazonaws.com/${userPoolId}`]: idToken
    },
    RoleArn: roleArn
  }).promise();

  return new S3Client({
    region: region,
    credentials: {
      accessKeyId: credentialsResponse.Credentials.AccessKeyId,
      secretAccessKey: credentialsResponse.Credentials.SecretAccessKey,
      sessionToken: credentialsResponse.Credentials.SessionToken
    }
  });
}

方案二：后端通过STS AssumeRole生成临时凭证（推荐） #

以后端作为权限校验中间层，调用STS的AssumeRole接口获取目标工厂角色的临时凭证返回给前端，实现严格的权限管控：

1. 权限校验：后端接收用户的工厂切换请求后，验证用户是否有权访问该工厂（例如从数据库查询用户-工厂关联关系）。
2. 生成临时凭证：后端调用STS AssumeRole接口，扮演目标工厂的IAM角色，生成短期临时凭证（默认有效期1小时，可调整）。
3. 前端使用凭证：前端用返回的临时凭证初始化S3Client，访问对应工厂的S3桶。

后端代码示例（Node.js）：

const AWS = require('aws-sdk');
const sts = new AWS.STS({ region: 'eu-west-3' });

// 校验用户是否有权访问目标工厂
async function checkUserFactoryAccess(userId, factoryId) {
  // 替换为实际的数据库查询逻辑
  const userFactories = await getUserAssociatedFactories(userId);
  return userFactories.includes(factoryId);
}

// 获取工厂对应的IAM角色ARN
async function getFactoryRoleArn(factoryId) {
  // 替换为实际的角色ARN获取逻辑（如从数据库查询）
  return `arn:aws:iam::ACCOUNT_ID:role/factory-${factoryId}-role`;
}

// 生成目标工厂的临时凭证
async function generateFactoryCredentials(userId, factoryId) {
  const hasAccess = await checkUserFactoryAccess(userId, factoryId);
  if (!hasAccess) {
    throw new Error('无该工厂访问权限');
  }

  const roleArn = await getFactoryRoleArn(factoryId);
  const params = {
    RoleArn: roleArn,
    RoleSessionName: `user-${userId}-factory-${factoryId}`,
    DurationSeconds: 3600 // 凭证有效期1小时
  };

  const data = await sts.assumeRole(params).promise();
  return {
    accessKeyId: data.Credentials.AccessKeyId,
    secretAccessKey: data.Credentials.SecretAccessKey,
    sessionToken: data.Credentials.SessionToken,
    region: 'eu-west-3'
  };
}

前端代码示例：

import { Auth } from 'aws-amplify';

async function getS3ClientForFactory(factoryId) {
  const session = await Auth.currentSession();
  const idToken = session.getIdToken().getJwtToken();

  // 调用后端接口获取凭证
  const response = await fetch(`/api/factories/${factoryId}/credentials`, {
    method: 'GET',
    headers: {
      'Authorization': `Bearer ${idToken}`,
      'Content-Type': 'application/json'
    }
  });

  if (!response.ok) {
    throw new Error('获取凭证失败');
  }

  const credentials = await response.json();
  return new S3Client({
    region: credentials.region,
    credentials: {
      accessKeyId: credentials.accessKeyId,
      secretAccessKey: credentials.secretAccessKey,
      sessionToken: credentials.sessionToken
    }
  });
}

方案对比 #

• 方案一：无需后端额外逻辑，前端直接交互Cognito，适合权限管控要求较低的场景；需确保角色ARN的传递安全，避免前端篡改。
• 方案二：后端掌控权限校验，安全性更高，可扩展日志记录、实时权限变更校验等业务逻辑，是生产环境的推荐方案。

内容的提问来源于stack exchange，提问作者Florian Jeanmart