配置用户池应用程序客户端

创建应用程序客户端（控制台）

1. 转到 Amazon Cognito 控制台。如果出现提示，请输入 Amazon 凭证。

2. 选择 User Pools（用户池）。

3. 从列表中选择现有用户池，或 create a user pool（创建用户池）。

4. 选择 App integration（应用程序集成）选项卡。查找 App clients（应用程序客户端）并选择 Create an app client（创建应用程序客户端）。

5. 选择 AAdd app client (添加应用程序客户端)。

6. 选择 Add an app client (添加应用程序客户端)。

7. 输入 App client name（应用程序客户端名称）。

8. 指定应用程序的 Refresh token expiration（刷新令牌的到期时间）。默认值为 30 天。您可以将此默认值更改为 1 小时到 10 年之间的任何值。

9. 指定应用程序的 Access token expiration (访问令牌的到期时间)。默认值为 1 小时。您可以将此默认值更改为 5 分钟到 24 小时之间的任何值。

10. 指定应用程序的 ID token expiration（ID 令牌的过期时间）。默认值为 1 小时。您可以将此默认值更改为 5 分钟到 24 小时之间的任何值。

    重要

    如果您使用托管 UI 并将令牌过期时间设置为不到一小时，用户将能够根据其会话 Cookie 获取新令牌，该 Cookie 在 1 小时后过期。您无法更改此 Cookie 的持续时间。

11. 默认情况下，用户池会为您的应用程序生成一个客户端密钥。如果您不需要客户端密钥，请清除 Generate client secret（生成客户端密钥）。

12. 如果您的服务器应用程序需要开发人员凭证（使用签名版本 4）并且不使用安全远程密码 (SRP) 身份验证，请选择 Enable username password auth for admin APIs for authentication (ALLOW_ADMIN_USER_PASSWORD_AUTH) [启用适用于管理 API 的用户名密码授权以进行身份验证 (ALLOW_ADMIN_USER_PASSWORD_AUTH)] 以激活服务器端身份验证。有关更多信息，请参阅 管理员身份验证流程。

13. 在 Prevent User Existence Errors (防止用户已存在错误) 下，选择 Legacy (经典) 或 Enabled (已启用)。有关更多信息，请参阅管理错误响应。

14. 默认情况下，用户池会授予您的应用程序读取和写入所有属性的权限。如果您要为应用程序设置不同的权限，请完成以下步骤。否则，请跳至步骤 15。

    1. 选择设置属性读取和写入权限。

    2. 请执行以下任一操作，设置读写权限：

       • 选择一个或多个范围。每个范围都是一组标准属性。有关更多信息，请参阅标准 OIDC 范围列表。

       • 选择单个标准或自定义属性。

    注意

    您无法删除任何应用程序中写入权限的必需属性。

15. 选择 Create app client (创建应用程序客户端)。

16. 如果您希望创建另一个应用程序，请选择添加应用程序。

17. 创建所需的所有应用程序后，选择 Return to pool details (返回池详细信息)，更新任何其他字段，然后选择 Create pool (创建池)。

创建应用程序客户端（控制台）

1. 转到 Amazon Cognito 控制台。如果出现提示，请输入 Amazon 凭证。

2. 选择 User Pools（用户池）。

3. 从列表中选择现有用户池，或 create a user pool（创建用户池）。

4. 选择 App integration（应用程序集成）选项卡。

5. 选择 App clients（应用程序客户端）下的 Create an app client（创建应用程序客户端）。

6. 选择 App type（应用程序类型）：Public client（公有客户端）、Confidential client（机密客户端），或者 Other（其它）。

7. 输入 App client name（应用程序客户端名称）。

8. 选择您希望在应用程序客户端中允许的 Authentication flows（身份验证流程）。

9. （可选）如果您要配置令牌过期时间，请完成以下步骤：

   1. 指定应用程序客户端的 Refresh token expiration（刷新令牌的过期时间）。默认值为 30 天。您可以将其更改为 1 小时到 10 年之间的任何值。

   2. 指定应用程序客户端的 Access token expiration（访问令牌的过期时间）。默认值为 1 小时。您可以将其更改为 5 分钟到 24 小时之间的任何值。

   3. 指定应用程序客户端的 ID token expiration（ID 令牌的过期时间）。默认值为 1 小时。您可以将其更改为 5 分钟到 24 小时之间的任何值。

      重要

      如果您使用托管 UI 并将令牌生命周期配置为不到一小时，用户将能够根据其会话 Cookie 持续时间使用令牌，该 Cookie 当前固定在一小时。

10. 选择 Generate client secret（生成客户端密钥），让 Amazon Cognito 为您生成一个客户端密钥。客户端密钥通常与机密客户端关联。

11. 是否为此应用程序客户端选择 Enable token revocation（启用令牌撤消）。这将增加 Amazon Cognito 发出的令牌的大小。

12. 是否为此应用程序客户端选择 Prevent error messages that reveal user existence（防止暴露用户存在的错误消息）。Amazon Cognito 将响应不存在的用户的登录请求，并显示一条指出用户名或密码不正确的通用消息。

13. （可选）为此应用程序客户端配置 Attribute read and write permissions（属性读取和写入权限）。您的应用程序客户端有权限读取和写入用户池属性架构的有限子集。

14. 选择创建。

15. 记下 Client id（客户端 ID）。这将识别注册和登录请求中的应用程序客户端。