身份验证流程

要激活使用用户名和密码的基于客户端的身份验证，请配置您的应用程序客户端以允许该方式。在 Amazon Cognito 控制台中，导航到用户池配置中应用程序下的应用程序客户端菜单。要为客户端移动应用程序或原生应用程序启用明文密码登录，请编辑应用程序客户端，并在身份验证流程下选择使用用户名和密码登录：ALLOW_USER_PASSWORD_AUTH。要为服务器端应用程序启用明文密码登录，请编辑应用程序客户端，并选择使用服务器端管理凭证登录：ALLOW_ADMIN_USER_PASSWORD_AUTH。

要激活使用用户名和密码的基于选择的身份验证，请配置您的应用程序客户端以允许该方式。编辑应用程序客户端，然后选择基于选择的登录：ALLOW_USER_AUTH。

要验证密码身份验证在基于选择的身份验证流程中是否可用，请导航到登录菜单，查看基于选择的登录选项下的部分。如果密码在可用选项下可见，则可以使用明文密码身份验证进行登录。密码选项包括明文和 SRP 用户名密码身份验证变体。

在 CreateUserPoolClient 或 UpdateUserPoolClient 请求中，通过配置 ExplicitAuthFlows 来指定您首选的用户名和密码身份验证选项。

"ExplicitAuthFlows": [ 
   "ALLOW_USER_PASSWORD_AUTH",
   "ALLOW_ADMIN_USER_PASSWORD_AUTH",
   "ALLOW_USER_AUTH"
]

在 CreateUserPool 或 UpdateUserPool 请求中，通过配置 Policies 来指定您希望支持的基于选择的身份验证流程。AllowedFirstAuthFactors 中的 PASSWORD 值同时包括明文密码和 SRP 身份验证流程选项。

"Policies": {
   "SignInPolicy": {
      "AllowedFirstAuthFactors": [
         "PASSWORD",
         "EMAIL_OTP",
         "WEB_AUTHN"
      ]
   }
}

要通过用户名密码身份验证将用户登录到应用程序，请按如下方式配置 AdminInitiateAuth 或 InitiateAuth 请求的正文。如果当前用户符合使用用户名密码身份验证的条件，该登录请求将成功，或继续进入下一个质询。否则，系统将返回一份可用的主要因素身份验证质询列表。以下参数集合是登录所需的最低要求。此外还支持其他参数。

{
   "AuthFlow": "USER_AUTH",
   "AuthParameters": { 
      "USERNAME" : "testuser",
      "PREFERRED_CHALLENGE" : "PASSWORD",
      "PASSWORD" : "[User's password]"
   },
   "ClientId": "1example23456789"
}

您也可以省略 PREFERRED_CHALLENGE 值，然后将收到一个响应，其中包含该用户符合条件的登录因素列表。

{
   "AuthFlow": "USER_AUTH",
   "AuthParameters": { 
      "USERNAME" : "testuser"
   },
   "ClientId": "1example23456789"
}

如果您未提交首选质询，或所提交的用户不符合其首选质询的条件，Amazon Cognito 将在 AvailableChallenges 中返回一个可用选项列表。当 AvailableChallenges 的 ChallengeName 为 PASSWORD 时，您可以按照以下格式，通过 RespondToAuthChallenge 或 AdminRespondToAuthChallenge 提交质询响应以继续身份验证。您必须传递一个 Session 参数，将该质询响应与初始登录请求的 API 响应关联起来。以下参数集合是登录所需的最低要求。此外还支持其他参数。

{
   "ChallengeName": "PASSWORD",
   "ChallengeResponses": { 
      "USERNAME" : "testuser",
      "PASSWORD" : "[User's Password]"
   },
   "ClientId": "1example23456789",
   "Session": "[Session ID from the previous response"
}

对于符合条件且成功的首选质询请求，以及 PASSWORD 质询响应，Amazon Cognito 会返回令牌，或要求用户完成额外的质询，例如多重身份验证（MFA）。

要通过用户名密码身份验证将用户登录到客户端应用程序，请按如下方式配置 InitiateAuth 请求的正文。以下参数集合是登录所需的最低要求。此外还支持其他参数。

{
   "AuthFlow": "USER_PASSWORD_AUTH",
   "AuthParameters": { 
      "USERNAME" : "testuser",
      "PASSWORD" : "[User's password]"
   },
   "ClientId": "1example23456789"
}

要通过用户名密码身份验证将用户登录到服务器应用程序，请按如下方式配置 AdminInitiateAuth 请求的正文。应用程序必须使用 Amazon 凭证签署此请求。以下参数集合是登录所需的最低要求。此外还支持其他参数。

{
   "AuthFlow": "ADMIN_USER_PASSWORD_AUTH",
   "AuthParameters": { 
      "USERNAME" : "testuser",
      "PASSWORD" : "[User's password]"
   },
   "ClientId": "1example23456789"
}

对于成功的请求，Amazon Cognito 会返回令牌，或要求用户完成额外的质询，例如多重身份验证（MFA）。

要激活使用用户名和 SRP 的基于客户端的身份验证，请配置您的应用程序客户端以允许该方式。在 Amazon Cognito 控制台中，导航到用户池配置中应用程序下的应用程序客户端菜单。要为客户端移动应用程序或原生应用程序启用 SRP 登录，请编辑应用程序客户端，并在身份验证流程下选择使用安全远程密码（SRP）登录：ALLOW_USER_SRP_AUTH。

要激活使用用户名和 SRP 的基于选择的身份验证，请编辑您的应用程序客户端，并选择基于选择的登录：ALLOW_USER_AUTH。

要验证 SRP 身份验证在基于选择的身份验证流程中是否可用，请导航到登录菜单，查看基于选择的登录选项下的部分。如果密码在可用选项下可见，则可以使用 SRP 身份验证进行登录。密码选项包括明文和 SRP 用户名密码身份验证变体。

在 CreateUserPoolClient 或 UpdateUserPoolClient 请求中，通过配置 ExplicitAuthFlows 来指定您首选的用户名和密码身份验证选项。

"ExplicitAuthFlows": [ 
   "ALLOW_USER_SRP_AUTH",
   "ALLOW_USER_AUTH"
]

在 CreateUserPool 或 UpdateUserPool 请求中，通过配置 Policies 来指定您希望支持的基于选择的身份验证流程。AllowedFirstAuthFactors 中的 PASSWORD 值同时包括明文密码和 SRP 身份验证流程选项。

"Policies": {
   "SignInPolicy": {
      "AllowedFirstAuthFactors": [
         "PASSWORD",
         "EMAIL_OTP",
         "WEB_AUTHN"
      ]
   }
}

要通过 SRP 用户名密码身份验证将用户登录到应用程序，请按如下方式配置 AdminInitiateAuth 或 InitiateAuth 请求的正文。如果当前用户符合使用用户名密码身份验证的条件，该登录请求将成功，或继续进入下一个质询。否则，系统将返回一份可用的主要因素身份验证质询列表。以下参数集合是登录所需的最低要求。此外还支持其他参数。

{
   "AuthFlow": "USER_AUTH",
   "AuthParameters": { 
      "USERNAME" : "testuser",
      "PREFERRED_CHALLENGE" : "PASSWORD_SRP",
      "SRP_A" : "[g^a % N]"
   },
   "ClientId": "1example23456789"
}

您也可以省略 PREFERRED_CHALLENGE 值，然后将收到一个响应，其中包含该用户符合条件的登录因素列表。

{
   "AuthFlow": "USER_AUTH",
   "AuthParameters": { 
      "USERNAME" : "testuser"
   },
   "ClientId": "1example23456789"
}

如果您未提交首选质询，或所提交的用户不符合其首选质询的条件，Amazon Cognito 将在 AvailableChallenges 中返回一个可用选项列表。当 AvailableChallenges 的 ChallengeName 为 PASSWORD_SRP 时，您可以按照以下格式，通过 RespondToAuthChallenge 或 AdminRespondToAuthChallenge 提交质询响应以继续身份验证。您必须传递一个 Session 参数，将该质询响应与初始登录请求的 API 响应关联起来。以下参数集合是登录所需的最低要求。此外还支持其他参数。

{
   "ChallengeName": "PASSWORD_SRP",
   "ChallengeResponses": { 
      "USERNAME" : "testuser",
      "SRP_A" : "[g^a % N]"
   },
   "ClientId": "1example23456789",
   "Session": "[Session ID from the previous response"
}

Amazon Cognito 会对符合条件的首选质询请求以及 PASSWORD_SRP 质询响应返回一个 PASSWORD_VERIFIER 质询。您的客户端必须完成 SRP 计算，并通过 RespondToAuthChallenge 或 AdminRespondToAuthChallenge 请求对该质询作出响应。

{
   "ChallengeName": "PASSWORD_VERIFIER",
   "ChallengeResponses": { 
      "PASSWORD_CLAIM_SIGNATURE" : "string",
      "PASSWORD_CLAIM_SECRET_BLOCK" : "string",
      "TIMESTAMP" : "string"
   },
   "ClientId": "1example23456789",
   "Session": "[Session ID from the previous response]"
}

在成功响应 PASSWORD_VERIFIER 质询后，Amazon Cognito 会颁发令牌，或要求用户完成另一项必需的质询，例如多重身份验证（MFA）。

SRP 身份验证更常用于客户端身份验证，而非服务器端。不过，您也可以在 InitiateAuth 和 AdminInitiateAuth 中使用 SRP 身份验证。要将用户登录到应用程序，请按如下方式配置 InitiateAuth 或 AdminInitiateAuth 请求的正文。以下参数集合是登录所需的最低要求。此外还支持其他参数。

客户端通过将生成元 g（模 N）的幂次提升到一个秘密随机整数 a 来生成 SRP_A。

{
   "AuthFlow": "USER_SRP_AUTH",
   "AuthParameters": { 
      "USERNAME" : "testuser",
      "SRP_A" : "[g^a % N]"
   },
   "ClientId": "1example23456789"
}

Amazon Cognito 以 PASSWORD_VERIFIER 质询进行响应。您的客户端必须完成 SRP 计算，并通过 RespondToAuthChallenge 或 AdminRespondToAuthChallenge 请求对该质询作出响应。

{
   "ChallengeName": "PASSWORD_VERIFIER",
   "ChallengeResponses": { 
      "PASSWORD_CLAIM_SIGNATURE" : "string",
      "PASSWORD_CLAIM_SECRET_BLOCK" : "string",
      "TIMESTAMP" : "string"
   },
   "ClientId": "1example23456789",
   "Session": "[Session ID from the previous response]"
}

在成功响应 PASSWORD_VERIFIER 质询后，Amazon Cognito 会颁发令牌，或要求用户完成另一项必需的质询，例如多重身份验证（MFA）。

控制台

要激活无密码登录，请先配置您的用户池，以允许使用一种或多种无密码类型作为主要登录方式，然后配置您的应用程序客户端以允许 USER_AUTH 身份验证流程。在 Amazon Cognito 控制台中，导航到用户池配置中身份验证下的登录菜单。编辑基于选择的登录选项，然后选择电子邮件消息一次性密码或 SMS 消息一次性密码。您可以同时激活这两个选项。保存更改。

导航到应用程序客户端菜单，然后选择一个应用程序客户端或新建一个。选择编辑，然后选择登录时选择身份验证类型：ALLOW_USER_AUTH。

API/SDK

在用户池 API 中，在 CreateUserPool 或 UpdateUserPool 请求中使用相应的无密码登录选项配置 SignInPolicy。

"SignInPolicy": { 
    "AllowedFirstAuthFactors": [ 
        "EMAIL_OTP",
        "SMS_OTP"
    ]
}

在 CreateUserPoolClient 或 UpdateUserPoolClient 请求中，为您的应用程序客户端 ExplicitAuthFlows 配置所需的选项。

"ExplicitAuthFlows": [ 
   "ALLOW_USER_AUTH"
]

无密码登录没有可在 InitiateAuth 和 AdminInitiateAuth 中指定的基于客户端的 AuthFlow。OTP 身份验证仅在基于选择的 AuthFlow USER_AUTH 中可用：在此流程中，您可以请求一个首选登录选项，或从用户的 AvailableChallenges 中选择无密码选项。要将用户登录到应用程序，请按如下方式配置 InitiateAuth 或 AdminInitiateAuth 请求的正文。以下参数集合是登录所需的最低要求。此外还支持其他参数。

在此示例中，我们不知道用户想要通过哪种方式登录。如果我们添加一个 PREFERRED_CHALLENGE 参数并且用户可以使用该首选质询，则 Amazon Cognito 将返回该质询。

{
   "AuthFlow": "USER_AUTH",
   "AuthParameters": { 
      "USERNAME" : "testuser"
   },
   "ClientId": "1example23456789"
}

您也可以在本例中向 AuthParameters 添加 "PREFERRED_CHALLENGE": "EMAIL_OTP" 或 "PREFERRED_CHALLENGE": "SMS_OTP"。如果用户符合该首选方式的使用条件，您的用户池会立即向该用户的电子邮件地址或电话号码发送验证码，并返回 "ChallengeName": "EMAIL_OTP" 或 "ChallengeName": "SMS_OTP"。

如果您没有指定首选质询，Amazon Cognito 会返回一个 AvailableChallenges 参数。

{
   "AvailableChallenges": [ 
      "EMAIL_OTP", 
      "SMS_OTP",
      "PASSWORD"
    ],
   "Session": "[Session ID]"
}

该用户符合以下登录方式的条件：通过电子邮件消息 OTP 进行无密码登录、通过短信 OTP 进行无密码登录以及使用用户名密码登录。您的应用程序可以提示用户选择其中一种方式，也可以根据内部逻辑自动做出选择。随后，应用程序通过 RespondToAuthChallenge or AdminRespondToAuthChallenge 请求来选定对应的质询。假设用户希望使用电子邮件消息一次性密码完成无密码身份验证。

{
   "ChallengeName": "SELECT_CHALLENGE",
   "ChallengeResponses": { 
      "USERNAME" : "testuser",
      "ANSWER" : "EMAIL_OTP" 
   },
   "ClientId": "1example23456789",
   "Session": "[Session ID from the previous response]"
}

Amazon Cognito 会返回一个 EMAIL_OTP 质询，并向该用户已验证的电子邮件地址发送一个验证码。随后，您的应用程序必须再次对该质询作出响应。

如果您之前请求了 EMAIL_OTP 作为 PREFERRED_CHALLENGE，那么这同样会是接下来的质询响应步骤。

{
   "ChallengeName": "EMAIL_OTP",
   "ChallengeResponses": {
      "USERNAME" : "testuser", 
      "EMAIL_OTP_CODE" : "123456" 
   },
   "ClientId": "1example23456789",
   "Session": "[Session ID from the previous response]"
}

控制台

要激活通行密钥登录，请先配置您的用户池，以允许使用一种或多种无密码类型作为主要登录方式，然后配置您的应用程序客户端以允许 USER_AUTH 身份验证流程。在 Amazon Cognito 控制台中，导航到用户池配置中身份验证下的登录菜单。编辑基于选择的登录选项，然后将通行密钥添加到可用选项列表中。

导航到身份验证方法菜单并编辑通行密钥。

导航到应用程序客户端菜单，然后选择一个应用程序客户端或新建一个。选择编辑，在身份验证流程下，选择登录时选择身份验证类型：ALLOW_USER_AUTH。

API/SDK

在用户池 API 中，在 CreateUserPool 或 UpdateUserPool 请求中使用相应的通行密钥选项配置 SignInPolicy。通行密钥身份验证的 WEB_AUTHN 选项必须至少附带一个其他选项。通行密钥注册需要现有的身份验证会话。

"SignInPolicy": { 
    "AllowedFirstAuthFactors": [ 
        "PASSWORD",
        "WEB_AUTHN"
    ]
}

在 SetUserPoolMfaConfig 请求的 WebAuthnConfiguration 参数中，配置您的用户验证首选项和 RP ID。其中，RelyingPartyId（即通行密钥身份验证结果的预期目标）可以是您的用户池前缀域、自定义域，或您自行指定的其他域。

"WebAuthnConfiguration": { 
   "RelyingPartyId": "example.auth.us-east-1.amazoncognito.com",
   "UserVerification": "preferred"
}

在 CreateUserPoolClient 或 UpdateUserPoolClient 请求中，为您的应用程序客户端 ExplicitAuthFlows 配置所需的选项。

"ExplicitAuthFlows": [ 
   "ALLOW_USER_AUTH"
]

托管登录负责处理用户通行密钥的注册。当您的用户池启用了通行密钥身份验证后，Amazon Cognito 会在用户注册新账户时提示其设置通行密钥。

当用户已完成注册但尚未设置通行密钥，或您作为管理员为其创建了账户时，Amazon Cognito 不会提示用户设置通行密钥。处于这种状态的用户必须先使用其他身份验证因素（例如密码或无密码 OTP）成功登录，才能注册通行密钥。

您可以通过一个 PublicKeyCreationOptions 对象来注册包含元数据的通行密钥凭证。您可以使用已登录用户的凭证生成该对象，并将其以 API 请求的形式提交给用户的通行密钥颁发者。颁发者将返回一个 RegistrationResponseJSON 对象，用于确认通行密钥注册。

要开始通行密钥注册过程，请使用现有登录选项登录用户。使用当前用户的访问令牌，对经过令牌授权的 StartWebAuthnRegistration API 请求进行授权。以下是一个示例 GetWebAuthnRegistrationOptions 请求的正文。

{
   "AccessToken": "eyJra456defEXAMPLE"
}

您的用户池返回的响应中包含 PublicKeyCreationOptions 对象。请将该对象以 API 请求的方式发送给用户的颁发者。此对象提供公有密钥和依赖方 ID 等信息。颁发者随后将返回一个 RegistrationResponseJSON 对象。

将注册响应通过 CompleteWebAuthnRegistration API 请求提交，该请求同样需使用用户的访问令牌进行授权。当您的用户池返回一个 HTTP 200 响应且正文为空时，即表示该用户的通行密钥已注册。

无密码登录没有可在 InitiateAuth 和 AdminInitiateAuth 中指定的 AuthFlow。相反，您必须声明 AuthFlow 为 USER_AUTH，然后请求一个登录选项，或根据用户池返回的响应选择您的无密码登录方式。要将用户登录到应用程序，请按如下方式配置 InitiateAuth 或 AdminInitiateAuth 请求的正文。以下参数集合是登录所需的最低要求。此外还支持其他参数。

在此示例中，我们知道用户希望使用通行密钥登录，因此我们添加了一个 PREFERRED_CHALLENGE 参数。

{
   "AuthFlow": "USER_AUTH",
   "AuthParameters": { 
      "USERNAME" : "testuser",
      "PREFERRED_CHALLENGE" : "WEB_AUTHN"
   },
   "ClientId": "1example23456789"
}

Amazon Cognito 以 WEB_AUTHN 质询进行响应。您的应用程序必须对该质询作出响应。向用户的通行密钥提供商发起一个登录请求。这将返回一个 AuthenticationResponseJSON 对象。

{
   "ChallengeName": "WEB_AUTHN",
   "ChallengeResponses": {
      "USERNAME" : "testuser", 
      "CREDENTIAL" : "{AuthenticationResponseJSON}" 
   },
   "ClientId": "1example23456789",
   "Session": "[Session ID from the previous response]"
}