Amazon Cognito utiliza diferentes tipos de tokens para realizar diferentes comprobaciónes y/o acciones.
Los tokens de identificación (id_token) sirven para determinar que el usuario ha iniciado sesión y la identidad de ese usuario. Esto es algo que debe realizarse en el frontend.
Los tokens de acceso (access_token), por otro lado, son para determinar que una solicitud (al backend) está autorizada. Los tokens de identificación no tienen los mismos controles de seguridad contra la suplantación de identidad que los tokens de acceso (Consulte este blog de Auth0).
Los tokens de acceso (access_token) no están destinados a transportar información sobre el usuario. Simplemente permiten el acceso a ciertos recursos definidos del servidor.
Puede pasar un token ID (id_token) alrededor de diferentes componentes de su cliente, y estos componentes pueden usar el token ID para confirmar que el usuario está autenticado y también para recuperar información sobre ellos (AWS Token endpoint).
Entonces, para responder a tu pregunta de forma concreta: En el dashboard del API Gateway, cuando se crea un Authorizer para un Cognito User Pool, es posible realizar un Test para probar el correcto funcionamiento del Authorizer proporcionando valores como las cabeceras que se utilizarán para realizar una llamada a su grupo de usuarios de Cognito.
En el campo donde se coloca el Authorization Token se debe de ingresar el id_token
para que el APIGW pueda confirmar que el usuario está autenticado corréctamente.
Si estás colocando el access_token
en su lugar, el APIGW no podrá validar los datos y la autenticación no será correcta devolviendo así un código 401 en la respuesta.
En pocas palabras para hacer el Test estás utilizando el access_token
en lugar de usar el id_token
.
Para obtener estos datos de cognito puedes realizar un CURL con la información pertinente:
Ejemplo de Solicitud:
curl "https://mydomain.auth.us-east-1.amazoncognito.com/oauth2/token" \
-X POST \
-d "grant_type=authorization_code" \
-H "content-type: application/x-www-form-urlencoded" \
-H "Authorization: Basic ZGpjOTh1M2ppZWRtaTI4M2V1OTI4OmFiY2RlZjAxMjM0NTY3ODkw" \
-H "client_id: 1example23456789"
Ejemplo de Respuesta:
HTTP/1.1 200 OK
Content-Type: application/json
{
"access_token":"eyJra1example",
"id_token":"eyJra2example",
"refresh_token":"eyJj3example",
"token_type":"Bearer",
"expires_in":3600
}
También debes de tener en cuenta que tipos de concesión de OAuth 2.0 estás utilizando, estas configurarán cómo Cognito entregará los tokens a tu aplicación. En este caso utilizamos authorization_code
.