如何使用amazon-cognito-identity-js为AWS Cognito注册用户分配组权限

步骤1：在AWS Cognito控制台创建目标用户组 #

• 登录AWS控制台，进入你的Cognito用户池
• 切换到「用户组」标签页，点击「创建用户组」
• 输入组名（比如manage_menu），设置组优先级，按需关联IAM角色（用于后端权限控制），完成创建

步骤2：注册用户后添加到目标组 #

注册操作本身不会自动将用户分配到组，需要在注册成功后调用Cognito的adminAddUserToGroup接口完成分配。

安装依赖 #

npm install amazon-cognito-identity-js aws-sdk

注册并添加用户到组的代码示例 #

import { CognitoUserPool, CognitoUserAttribute } from 'amazon-cognito-identity-js';
import AWS from 'aws-sdk';

// 初始化Cognito用户池
const poolConfig = {
  UserPoolId: '你的Cognito用户池ID',
  ClientId: '你的应用客户端ID'
};
const userPool = new CognitoUserPool(poolConfig);

// 配置AWS SDK区域
AWS.config.update({ region: '你的AWS区域，如us-east-1' });

// 注册并分配用户组的异步函数
const registerAndAssignGroup = async (username, password, email) => {
  const userAttributes = [
    new CognitoUserAttribute({ Name: 'email', Value: email })
    // 可添加其他自定义属性，如姓名、电话等
  ];

  return new Promise((resolve, reject) => {
    // 执行注册
    userPool.signUp(username, password, userAttributes, null, async (signUpErr, signUpResult) => {
      if (signUpErr) {
        reject(signUpErr);
        return;
      }

      try {
        // 调用Cognito API将用户添加到目标组
        const cognitoClient = new AWS.CognitoIdentityServiceProvider();
        await cognitoClient.adminAddUserToGroup({
          GroupName: 'manage_menu',
          UserPoolId: poolConfig.UserPoolId,
          Username: username
        }).promise();

        resolve(signUpResult);
      } catch (assignErr) {
        reject(assignErr);
      }
    });
  });
};

关键注意事项 #

• 生产环境权限建议：前端直接调用adminAddUserToGroup需要配置AWS凭证，存在密钥泄露风险。推荐做法是：前端完成注册后，调用自研后端API，由后端通过IAM角色权限调用Cognito接口完成组分配。
• 权限验证：用户登录后，id_token和access_token中会包含cognito:groups字段，前端可解析token获取用户所属组，以此控制页面或功能的访问权限（比如判断用户是否在manage_menu组，再显示菜单管理入口）。

内容的提问来源于stack exchange，提问作者John