添加应用程序客户端并设置托管 UI

在用户池中创建应用程序

1. 转到 Amazon Cognito 控制台。如果出现提示，请输入 Amazon 凭证。

2. 选择 User Pools（用户池）。

3. 从列表中选择一个现有用户池，或创建一个用户池。如果创建新的用户池，系统将在向导期间提示您设置应用程序客户端并配置托管 UI。

4. 选择用户池的 App integration（应用程序集成）选项卡。

5. 选择域旁边的操作，然后选创建自定义域或创建 Amazon Cognito 域。如果您已配置用户群体域，请先选择删除 Amazon Cognito 域或删除自定义域，然后再创建新的自定义域。

6. 输入可用的域前缀，以与 Amazon Cognito 域结合使用。有关设置 Custom domain（自定义域）的信息，请参阅将您自己的域用于托管 UI。

7. 选择 Create（创建）。

8. 导航回用于同一用户池的 App integration（应用程序集成）选项卡，然后查找 App clients（应用程序客户端）。选择 Create an app client（创建应用程序客户端）。

9. 选择 Application type（应用程序类型）。系统将根据您的选择提供一些建议的设置。使用托管 UI 的应用程序是 Public client（公有客户端）。

10. 输入 App client name（应用程序客户端名称）。

11. 在此练习中，选择 Don't generate client secret（不生成客户端密钥）。客户端密钥由机密应用程序使用，该应用程序由集中式应用程序对用户进行身份验证。在此练习中，您将向用户展示托管 UI 登录页面，无需客户端密钥。

12. 选择您将允许用于您的应用程序的 Authentication flows（身份验证流程）。确保已选择 USER_SRP_AUTH。

13. 根据需要自定义 token expiration（令牌的到期时间）、Advanced security configuration（高级安全配置）和 Attribute read and write permissions（属性读取和写入权限）。有关更多信息，请参阅配置应用程序客户端设置。

14. 为您的应用程序客户端 Add a callback URL（添加回调 URL）。在托管 UI 身份验证后，您将被引导到该地址。在您能够在应用程序中实施注销之前，您无需添加 Allowed sign-out URL（允许的注销 URL）。

    对于 iOS 或 Android 应用程序，您可以使用类似 myapp:// 的回调 URL。

15. 为应用程序客户端选择 Identity providers（身份提供商）。至少，启用 Amazon Cognito 用户群体作为提供商。

    注意

    要使用外部身份提供者 (IdP)（如 Facebook、Amazon、Google 和 Apple）以及通过 OpenID Connect (OIDC) 或 SAML IdP 进行登录，请首先按照通过第三方添加用户群体登录中所示对其进行配置，然后返回到 App client settings（应用程序客户端设置）页面以启用它们。

16. 选择 OAuth 2.0 Grant Types（OAuth 2.0 授予类型）。选择 Authorization code grant（授权代码授予）以返回随后更换为用户池令牌的授权代码。由于令牌绝不会直接向终端用户公开，因此它们不太可能被泄露。但是，后端需要自定义应用程序以将授权代码换成用户池令牌。出于安全原因，对于移动应用程序，强烈建议您将授权代码授予流程与代码交换的证明密钥（PKCE）一起使用。

    选择 Implicit grant (隐式授予) 以便从 Amazon Cognito 将用户池 JSON Web 令牌（JWT）返回给您。当没有可用于将授权代码更换为令牌的后端时，您可以使用此流程。它对于调试令牌也很有帮助。

    注意

    您可以同时启用 Authorization code grant（授权代码授予）和 Implicit code grant（隐式代码授予），然后按需使用每个授予。

    只有在您的应用程序需要代表自己而不是代表用户请求访问令牌时才选择 Client credentials（客户端凭证）。

17. 除非您希望明确地排除一个项目，否则请选择所有 OpenID Connect scopes（OpenID Connect 范围）。

18. 选择您已配置的任意 Custom scopes（自定义范围）。自定义范围通常用于机密客户端。

19. 选择 Create（创建）。