如何按权限规则配置AWS Cognito？角色配置疑问求解

你的需求完全合理，且可以通过AWS Cognito用户池结合IAM角色、用户组的方式落地，具体配置思路如下：

核心逻辑 #

Cognito用户池的用户组可直接绑定IAM角色，用户登录后会自动获取对应角色的权限，这正是实现权限分层的核心基础。

具体配置步骤 #

1. 创建对应权限的IAM角色 #

• 管理员角色：需具备管理Cognito用户（创建/修改用户、分配用户组）及授予内容管理员权限（将用户添加至内容管理员组）的权限。示例权限策略片段：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "cognito-idp:AdminAddUserToGroup",
        "cognito-idp:AdminRemoveUserFromGroup",
        "cognito-idp:ListUsers",
        "cognito-idp:AdminUpdateUserAttributes"
      ],
      "Resource": "arn:aws:cognito-idp:你的区域:你的账号ID:userpool/你的用户池ID"
    }
  ]
}

• 内容管理员角色：需具备访问内容相关资源（S3存储内容、DynamoDB存储内容元数据）及搜索、创建、修改内容的权限。示例权限策略片段：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:PutObject",
        "s3:GetObject",
        "s3:ListBucket"
      ],
      "Resource": [
        "arn:aws:s3:::你的内容存储桶/*",
        "arn:aws:s3:::你的内容存储桶"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "dynamodb:GetItem",
        "dynamodb:PutItem",
        "dynamodb:UpdateItem",
        "dynamodb:Scan"
      ],
      "Resource": "arn:aws:dynamodb:你的区域:你的账号ID:table/你的内容表"
    }
  ]
}

2. 在Cognito用户池中创建用户组并绑定角色 #

• 进入Cognito用户池控制台，找到「用户组」选项
• 创建Admin和ContentAdmin两个用户组
• 为每个组关联对应的IAM角色（需确保角色的信任策略允许Cognito服务扮演该角色）

3. 配置Cognito身份池（可选但推荐） #

若网站前端需直接调用AWS服务（如S3、DynamoDB），需配置Cognito身份池，将用户池用户关联至身份池，用户登录后会自动获取角色临时凭证，前端可直接用这些凭证访问资源。

4. 应用层面实现权限校验 #

• 用户登录后，从Cognito返回的ID令牌中解析cognito:groups字段，获取用户所属组
• 根据组信息控制页面访问权限：管理员可访问用户管理页面，内容管理员仅能访问内容管理页面
• 调用AWS服务时，使用用户对应的角色凭证，确保权限符合预期

关键注意事项 #

• 最小权限原则：给每个角色分配刚好满足需求的权限，避免过度授权
• 角色信任关系：IAM角色需允许Cognito服务扮演，示例信任策略：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Federated": "cognito-identity.amazonaws.com"
      },
      "Action": "sts:AssumeRoleWithWebIdentity",
      "Condition": {
        "StringEquals": {
          "cognito-identity.amazonaws.com:aud": "你的身份池ID"
        }
      }
    }
  ]
}

• 令牌解析：确保应用能正确解析ID令牌中的组信息，以此作为权限判断依据

内容的提问来源于stack exchange，提问作者engineering_the_future