AWS Cognito角色：区分联合身份池角色和用户池组角色

Question

我有一个应用程序，其中我希望2种类型的用户属于同一个用户池。它们都使用相同的AWS Cognito联合身份池进行身份验证。第一种类型的用户Manager应该能够看到其组中的所有其他用户并更改其属性。第二种类型，Employee，应该只能看到/更改自己的属性，更改自己的密码，忘记自己的密码等。我想这个特定的情况需要一些策略“魔术”来创建2个角色，每个角色都有不同的级别权限。我认为每个角色都将分配给不同的组，Manager组获得更多的权力/权限。但我对联合身份池和用户池组中角色分配的冗余感到困惑。

• AWS Cognito联合身份池有3个角色说明符：“未经身份验证的角色”，“经过身份验证的角色”，对于身份验证提供程序，“经过身份验证的角色（选择）”。
• AWS Cognito用户池组允许您指定IAM角色。

身份池和组之间在权限方面的关系是什么？

Answer 1

如果您正在使用组并将角色附加到它们，则可以选择使用令牌中提供的角色。默认情况下，只要您登录，就会使用经过身份验证的角色（如果已激活，则使用未经身份验证的角色）。您可以通过打开联合身份池并在cognito用户池（我认为是您的身份提供者）下更改此设置来更改此行为。

选择“从令牌中选择角色”以使用您附加到用户所属组的角色。