Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

使用 Amazon Verified Permissions 进行授权

Amazon Verified Permissions 是针对您构建的应用程序的授权服务。当您将 Amazon Cognito 用户群体添加为身份源时，应用程序可以将用户群体访问权限或身份（ID）令牌传递给 Verified Permissions，以便做出允许或拒绝决定。Verified Permissions 根据您使用 Cedar 策略语言编写的策略，来考虑用户的属性和请求上下文。请求上下文可以包括所请求的文档、映像或其他资源的标识符，以及用户想要对该资源采取的操作。

您的应用程序可以在 IsAuthorizedWithTokenAPI 请求中向已验证权限提供用户的身份或访问令牌。IsAuthorizedWithToken API 还接受用户针对他们想要访问的 Resource 所请求的 Action，以及有助于做出精细访问决策的其他自定义 Context。

当应用程序在 IsAuthorizedWithToken API 请求中提供令牌时，Verified Permissions 将执行以下验证。

已撤销的令牌和已删除的用户

Verified Permissions 仅验证它从您的身份来源和用户令牌到期时间所了解的信息。Verified Permissions 不检查令牌是否撤销或用户是否存在。如果您从用户群体中撤销了用户的令牌或删除了用户的配置文件，则 Verified Permissions 在令牌到期之前仍会认为该令牌有效。

策略评估

将您的用户群体配置为策略存储的身份来源。将您的应用程序配置为在对 Verified Permissions 的请求中提交用户的令牌。对于每个请求，Verified Permissions 将令牌中的声明与策略进行比较。Verified Permissions 策略类似于 Amazon中的 IAM policy。该策略会声明主体、资源 和操作。如果您对于 Allow 的请求与允许的操作匹配，但与显式拒绝操作不匹配，则 Verified Permissions 将对您的请求进行响应；否则，它将以 Deny 进行响应。有关更多信息，请参阅《Amazon Verified Permissions 用户指南》中的 Amazon Verified Permissions 策略。

自定义令牌

要更改、添加和删除您想要向 Verified Permissions 提供的用户声明，请使用令牌生成前 Lambda 触发器自定义身份令牌中的内容。使用令牌生成前触发器，您可以在令牌中添加和修改声明。例如，您可以在数据库中查询其他用户属性，并将这些属性编码为您的 ID 令牌。

有关 Verified Permissions 如何将 Amazon Cognito 令牌中的声明映射到授权策略的更多信息，请参阅将 Amazon Cognito 令牌映射到 Verified Permissions 架构。

授权示例

以下是使用自定义 ID 令牌和从 Amazon API Gateway 检索资源的 Amazon Cognito 和 Verified Permissions 的用户群体流程示例。

Amazon Cognito 用户的示例策略

以下示例使用 Cedar 策略语言，以允许通过一个用户群体应用程序客户端进行身份验证的财务用户读写 example_image.png。John 是应用程序中的用户，他从应用程序客户端接收 ID 令牌，并在 GET 请求中将其传递到需要授权的 URL https://example.com/images/example_image.png。John 的 ID 令牌拥有用户群体应用程序客户端 ID 1234567890example 的 aud 声明。令牌生成前 Lambda 函数还插入了一个新声明 costCenter，对于 John 来说，值为 Finance1234。

permit (
   principal,
   actions in [Action::"readFile", "writeFile"],
   resource == ExampleCorp::File::"a8f3f048-ded7-4a95-89ca-e283644e1898" // example_image.png
)
when {
   principal.aud == "1234567890example" &&
   principal.costCenter like "Finance*"
};

以下请求正文会导致 Allow 响应。

{
   "accesstoken": "[John's access token]",
   "action": {
      "actionId": "readFile",
      "actionType": "Action"
   },
   "resource": {
      "entityId": "example_image.png",
      "entityType": "Photo"
   }
}

当您要在 Verified Permissions 策略中指定主体时，请使用以下格式：

principal == namespace::User::"[user pool ID]"|"[user sub]"

以下是 ID 为 us-east-1_Example（带有子项）或用户 ID 为 973db890-092c-49e4-a9d0-912a4c0a20c7 的用户群体中用户的主体语句示例。

principal == ExampleCorp::User::"us-east-1_Example|973db890-092c-49e4-a9d0-912a4c0a20c7",

基于属性的访问控制

为您的应用程序提供经过验证的权限授权，以及用于 Amazon 凭证的 Amazon Cognito 身份池的访问控制属性功能，都是基于属性的访问控制 (ABAC) 的形式。以下是 Verified Permissions 和 Amazon Cognito ABAC 的功能比较。在 ABAC 中，系统检查实体的属性，并根据您定义的条件做出授权决策。