Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

特定于应用程序的应用程序客户端设置

用户池应用程序客户端是用户池中的一项配置，它与一个通过 Amazon Cognito 进行身份验证的移动或 Web 应用程序进行交互。应用程序客户端可以调用经过授权和未经身份验证的 API 操作，并读取或修改用户的部分或全部属性。您的应用程序必须在操作中向应用程序客户端表明自己的身份，才能注册、登录和处理忘记的密码。这些 API 请求必须包括使用应用程序客户端 ID 进行自我识别以及使用可选客户端密钥进行授权的机制。您必须保护所有应用程序客户端 IDs 或密钥，以便只有经过授权的客户端应用程序才能调用这些未经身份验证的操作。此外，如果您将应用程序配置为使用 Amazon 凭证签署经过身份验证的 API 请求，则必须保护您的凭据免受用户检查。

您可以为一个用户池创建多个应用程序。应用程序客户端可能链接到应用程序的代码平台，也可能链接到用户池中的单独租户。例如，您可以为服务器端应用程序和其他 Android 应用程序创建一个应用程序。每个应用程序都有各自的应用程序客户端 ID。

您可以在应用程序客户端级别应用以下用户池特征的设置：

应用程序客户端类型

在 Amazon Cognito 中创建应用程序客户端时，您可以根据标准 OAuth 客户端类型（公共客户端和机密客户端）预先填充选项。使用客户端密钥配置机密客户端 有关客户端类型的更多信息，请参阅 IETF RFC 6749 #2.1。

您可以将机密客户端和客户端密钥用于公有应用程序。使用 Amazon CloudFront 代理添加SECRET_HASH在途中。有关更多信息，请参阅博客上的使用亚马逊 CloudFront 代理保护公共客户端 Amazon Cognito。 Amazon

JSON Web 令牌

亚马逊 Cognito 应用程序客户端可以发行以下类型的 JSON 网络令牌 (JWTs)。

您可以在 A mazon Cognito 控制台的用户池的应用程序客户端菜单中为每个应用程序客户端设置这些令牌的到期时间。

应用程序客户端术语

以下术语是 Amazon Cognito 控制台中应用程序客户端的可用属性。

创建应用程序客户端

Amazon Web Services Management Console

创建应用程序客户端（控制台）

1. 转到 Amazon Cognito 控制台。如果出现提示，请输入您的 Amazon 凭据。

2. 选择用户池。

3. 从列表中选择一个现有用户池，或创建一个用户池。这两个选项都会提示您使用特定于应用程序的设置来配置应用程序客户端。

4. 选择一种能反映您的应用程序架构的应用程序类型。

5. 使用友好的标识符@@ 命名您的应用程序。

6. 输入退货网址。

7. 选择创建应用程序客户端。创建应用程序客户端后，您可以更改高级选项。

8. Amazon Cognito 会将应用程序客户端信息返回给您。要访问应用程序的示例代码，请从 “快速设置指南” 选项卡中选择一个平台。

Amazon CLI

aws cognito-idp create-user-pool-client --user-pool-id MyUserPoolID --client-name myApp

注意

使用 JSON 格式进行回调和注销 URLs ，以防止 CLI 将其视为远程参数文件：

--callback-urls "["https://example.com"]"
--logout-urls "["https://example.com"]"

有关更多信息，请参阅 Amazon CLI 命令参考：create-user-pool-client

Amazon Cognito user pools API

生成 CreateUserPoolClientAPI 请求。必须为所有您不想设置为默认值的参数指定一个值。

更新用户池应用程序客户端（Amazon CLI 和 Amazon API）

在 Amazon CLI，输入以下命令：

aws cognito-idp update-user-pool-client --user-pool-id  "MyUserPoolID" --client-id "MyAppClientID" --allowed-o-auth-flows-user-pool-client --allowed-o-auth-flows "code" "implicit" --allowed-o-auth-scopes "openid" --callback-urls "["https://example.com"]" --supported-identity-providers "["MySAMLIdP", "LoginWithAmazon"]"

如果命令成功，则 Amazon CLI 返回确认信息：

{
    "UserPoolClient": {
        "ClientId": "MyClientID",
        "SupportedIdentityProviders": [
            "LoginWithAmazon",
            "MySAMLIdP"
        ],
        "CallbackURLs": [
            "https://example.com"
        ],
        "AllowedOAuthScopes": [
            "openid"
        ],
        "ClientName": "Example",
        "AllowedOAuthFlows": [
            "implicit",
            "code"
        ],
        "RefreshTokenValidity": 30,
        "AuthSessionValidity": 3,
        "CreationDate": 1524628110.29,
        "AllowedOAuthFlowsUserPoolClient": true,
        "UserPoolId": "MyUserPoolID",
        "LastModifiedDate": 1530055177.553
    }
}

有关更多信息，请参阅 Amazon CLI 命令参考:update-user-pool-client.

Amazon API: UpdateUserPoolClient

获取有关用户池应用程序客户端（Amazon CLI 和 Amazon API）的信息

aws cognito-idp describe-user-pool-client --user-pool-id MyUserPoolID --client-id MyClientID

有关更多信息，请参阅 Amazon CLI 命令参考:describe-user-pool-client.

Amazon API: DescribeUserPoolClient

列出用户池（Amazon CLI 和 Amazon API）中的所有应用程序客户端信息

aws cognito-idp list-user-pool-clients --user-pool-id "MyUserPoolID" --max-results 3

有关更多信息，请参阅 Amazon CLI 命令参考:list-user-pool-clients.

Amazon API: ListUserPoolClients

删除用户池应用程序客户端（Amazon CLI 和 Amazon API）

aws cognito-idp delete-user-pool-client --user-pool-id "MyUserPoolID" --client-id "MyAppClientID"

有关更多信息，请参阅 Amazon CLI 命令参考：delete-user-pool-client

Amazon API: DeleteUserPoolClient