Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

ACR 和 AMR 声明的身份验证级别

Amazon Cognito 可以记录用户身份验证的强度以及他们使用的方法。当用户登录时，您可以提供目标身份验证级别作为输入，Amazon Cognito 将用户达到的级别以及他们完成的方法作为其发放的令牌中的声明进行报告。这些声明适用于任何登录，包括用户的初始登录。

您可以使用托管登录授权和登录端点上的acr_values参数或 USER_AUTH API 流程中的等效TARGET_ACR_VALUES参数来请求身份验证级别。两者都接受目标身份验证级别的有序列表。您可以添加可选max_age参数（MAX_AGE在 API 中），要求用户在最近的时间窗口内进行身份验证。作为对这些输入的回应，Amazon Cognito在其发行的代币中增加了两个声明：

acr和amr声明遵循 OpenID Connect Core 规范中的定义。亚马逊 Cognito 使用自己的 ACR 级别 URI。您可以将 Amazon Cognito 级别转换为应用程序所需的任何标准。

Step-up 身份验证是这些声明的常见用例。在升级身份验证中，您的应用程序要求用户在执行敏感操作之前使用更强的方法进行身份验证。要决定是否提示，您的应用程序会将用户 ID 令牌中的acr级别和auth_time声明与操作所需的级别和新鲜度进行比较，并且仅在尚未满足这些级别和新鲜度时才请求加强。需要升级时，将用户重定向到托管登录授权或登录端点acr_values，或者使用调用 USER_AUTH API 流程。TARGET_ACR_VALUES有关示例，请参阅Step-up 身份验证场景。

您可以从任何 Amazon Cognito 登录入口点申请 ACR 和 AMR。每个入口点的机制都与该入口点一起记录下来。

请求升级身份验证需要使用基本版或增强版功能计划。有关更多信息，请参阅 功能计划要求。

身份验证级别和方法

Amazon Cognito 会评估用户完成的身份验证因素，并将结果表示为acr索赔中的身份验证级别和声明中的身份验证方法列表。amr

ACR 身份验证级别

Amazon Cognito 定义了四个固定的身份验证级别。满足每个级别的身份验证因子组合是固定的，您无法对其进行更改。您只能为用户池自定义每个级别的 URI 名称。有关更多信息，请参阅 配置 ACR 级别名称。

Amazon Cognito 会分配用户完成的要素完全满足的最高身份验证级别。

级别 1 表示仅使用密码的身份验证。Federation 无法通过此表满足任何级别。相反，Amazon Cognito 从身份提供商 (IdP) 的响应中推导出联合用户的身份验证级别。有关更多信息，请参阅 Step-up 联合用户身份验证。

抗生素耐药性值

amr声明是一个字符串列表。用户完成的每个身份验证因素都会将其值添加到列表中。Amazon Cognito 可以添加以下值。

ACR 和 AMR 代币索赔

Amazon Cognito 添加acr并amr声明访问令牌和 ID 令牌。您的应用程序会检查访问令牌或 ID 令牌中的acr和amr声明，以评估身份验证级别。当用户刷新令牌时，Amazon Cognito 会在新的访问令牌amr和 ID 令牌上保留acr相同的和值，因此用户在每次刷新后都不会被要求再次加强。有关令牌内容的更多信息，请参阅使用 ID 令牌和使用访问令牌。

以下示例显示了用户使用密码和 TOTP 进行身份验证后的 ID 令牌。

{
  "sub": "a1b2c3d4-5678-90ab-cdef-1234567890ab",
  "iss": "https://cognito-idp.us-east-1.amazonaws.com/us-east-1_ExAmPlE",
  "aud": "abc123def456",
  "exp": 1759348800,
  "iat": 1759345200,
  "auth_time": 1759345200,
  "token_use": "id",
  "acr": "urn:cognito:loa:4",
  "amr": ["pwd", "otp", "mfa"],
  "email": "user@example.com",
  "cognito:username": "a1b2c3d4-5678-90ab-cdef-1234567890ab"
}

当用户刷新令牌时，Amazon Cognito 会对新的访问令牌amr和 ID 令牌设置acr相同的值。这些值未经修改即可延续。这种行为提供了更流畅的体验，因为用户在每次刷新后都不会被要求再次加强。

刷新令牌并不能重置auth_time索赔。如果要强制用户在一段时间后再次进行身份验证，请使用max_age参数，该参数会将当前时间与用户刷新令牌的次数进行比较。auth_time

当用户完成升级身份验证后，Amazon Cognito 会发布新的访问权限、ID 和刷新令牌，其中包含acr更新的索赔amr和新的有效期。

配置 ACR 级别名称

您可以使用AcrConfiguration字段为用户池自定义每个身份验证级别的 URI 名称。使用或UpdateUserPool操作创建或更新用户池时，请配置此字段。CreateUserPool满足每个水平的因子组合保持不变。您只能自定义名称。

使用该AcrConfiguration字段配置自定义 ACR 等级名称需要基础版或增强版功能计划。有关更多信息，请参阅 功能计划要求。

该AcrConfiguration字段是一张地图，其中包含密钥Level1通过Level4。每个值都是一个包含单个AcrValue字符串的对象。您只能覆盖要自定义的关卡。以下示例请求自定义级别 2 和 3 的名称。

{
  "AcrConfiguration": {
    "Level2": { "AcrValue": "urn:my-standard:loa:2" },
    "Level3": { "AcrValue": "urn:my-standard:loa:3" }
  }
}

响应始终返回有效的配置，其中包含您未自定义的任何关卡的默认名称。

{
  "AcrConfiguration": {
    "Level1": { "AcrValue": "urn:cognito:loa:1" },
    "Level2": { "AcrValue": "urn:my-standard:loa:2" },
    "Level3": { "AcrValue": "urn:my-standard:loa:3" },
    "Level4": { "AcrValue": "urn:cognito:loa:4" }
  }
}

以下验证规则适用于每个AcrValue。

如果您更改 ACR 级别名称，则用户稍后可能会出示一个访问令牌，其acr值不再与任何已配置的级别匹配。Amazon Cognito 不尊重陈旧的价值，并将其视为无法识别的级别，但这不是错误。Amazon Cognito 仍然尊重代币的amr价值，只提示amr索赔中尚未列出的因素，而不记入任何特定等级。

功能计划要求

以下功能需要基础版或增强版功能计划。

在功能计划不足的情况下请求升级身份验证时的行为取决于入口点。

有关功能计划的更多信息，请参阅用户池功能计划。

您对升级身份验证的责任

Amazon Cognito 颁发的令牌具有用户达到的身份验证级别。您的应用程序负责以下几点。