amazon-web-services - AWS Amplify - Cognito 用户组成员失去默认 authRole 授予的权限

Question

我创建了几个名为“admins”和“editors”的 Cognito 用户组，它们又按预期创建了 IAM 角色{USERPOOLID}-adminsGroupRole。这些 IAM 角色没有附加任何策略，当用户成为该组的成员时，似乎完全忽略了他们作为非组用户通过默认 authRole 授予的任何权限。

我希望 authRole 应用于任何经过身份验证的人和我的管理员/编辑组以提供额外的权限。如果这是它的工作方式，那么我预计会在我的 CloudFormation 模板中生成已经存在于其他地方的自定义策略，并且它们需要是动态的以适用于多个环境/存储桶等，这是一个问题。

我是在接近这个错误或误解吗？这种行为似乎很奇怪。

谢谢

标签： amazon-web-servicesamazon-cognitoaws-amplify

Answer 1

在使用 Amazon Cognito 用户池（而不是身份池）时，当您创建组并指定 IAM 角色时，其权限由组的关联 IAM 角色确定。

如果我错了，请纠正我，但是当你说：I would expected the authRole to be applied to anyone who is authenticated and my admins/editors group to provide additional permissions.

这authRole是身份池中为所有已授权用户定义的 IAM 角色。您可以控制在身份池的设置中选择哪个角色。

此答案中的更多信息： AWS Cognito 角色：区分联合身份池角色和用户池组角色