8、AWS身份与访问管理及虚拟专用网络入门

AWS身份与访问管理及虚拟专用网络入门

1. 身份与访问管理概述

在移动设备上启动应用程序时，终端用户会被提示登录。当用户输入凭证并提交认证请求后，应用程序会将其重定向到第三方身份提供商（如Login with Amazon）进行凭证验证。若用户通过认证，将获得认证令牌。应用程序会使用Cognito API将认证令牌转发给Cognito，换取Cognito令牌，再将Cognito令牌传递给AWS STS以请求临时安全凭证。这些临时安全凭证可用于访问应用程序运行所需的AWS资源，其关联的角色和分配的策略决定了可访问的资源范围。

2. AWS STS服务

AWS STS是一项Web服务，可根据IAM角色为应用程序动态生成具有受限权限的临时安全凭证。这些凭证可以为IAM用户或联合用户生成。与IAM用户使用的长期访问密钥凭证相比，临时安全凭证具有以下特点：
- 短期使用 ：仅在特定时间内有效，过期后AWS将不再识别，使用过期凭证的API请求将被拒绝。
- 动态生成 ：不存储在用户端，而是根据请求动态生成并提供给用户或应用程序。
- 需及时更新 ：应用程序或用户应在凭证过期前请求新的凭证。

使用临时凭证具有以下优势：
- 无需分发长期凭证 ：避免在应用程序中分发或嵌入长期AWS安全凭证。
- 支持身份联合 ：无需为用户定义AWS身份即可提供对AWS资源的访问，是角色和身份联合的基础。
- 自动过期 </