AWS Cognito неправильнаяконфигурация Удостоверение пула

Question

Я использую API AWS Javascript и пытается получить назначенную Cognito ID:

AWS.config.credentials.get(function(err) { 
    if (!err) { 
     console.log("Cognito Identity Id: " + AWS.config.credentials.identityId); 
    } 
}); 

Почему этот результат в 400 ошибка с сообщением ниже?

{"__type":"InvalidIdentityPoolConfigurationException","message":"Invalid identity pool configuration. Check assigned IAM roles for this pool."} 

У меня есть роли IAM, настроенные для аутентифицированных и неидентифицированных пользователей.

{ 
"Version": "2012-10-17", 
"Statement": [{ 
    "Action": [ 
     "mobileanalytics:PutEvents", 
     "cognito-sync:*" 
    ], 
    "Effect": "Allow", 
    "Resource": [ 
     "*" 
    ] 
}] 
} 

Answer 1

Наиболее распространенная причина этой ошибки заключается в том, что ваши роли не настроены, чтобы доверять пулу идентификаторов. Вы должны подтвердить, что идентификатор пула идентификаторов, указанный в ваших отношениях доверия, совпадает с пулом идентификаторов, который вы используете.

Дополнительная информация о доверительных отношениях в Amazon Cognito находится в нашем developer guide.

Answer 2

После некоторого рытья я понял, что вы должны добавить RoleArn и AccountId к своим учетным данным.

Даже если большая часть документации там говорить об этом как достаточно:

AWS.config.credentials = new AWS.CognitoIdentityCredentials({ 
    IdentityPoolId: 'us-east-1:xxxxx-a87e-46ed-9519-xxxxxxx', 
}); 

Этого было недостаточно.

Я должен был сделать это:

AWS.config.credentials = new AWS.CognitoIdentityCredentials({ 
    IdentityPoolId: 'us-east-1:xxxxx-a87e-46ed-9519-xxxxx', 
    RoleArn: 'arn:aws:iam::xxxxx:role/Cognito_xxxxUsersUnauth_Role', 
    AccountId: 'xxxxxxxxx', // your AWS account ID 
}); 

Вы должны упомянуть ARN вашей роли для удостоверения пула.

Единственный документ, который упоминает это правильно, - this one.

неправильные:

• http://docs.aws.amazon.com/AWSJavaScriptSDK/guide/browser-configuring.html

• https://mobile.awsblog.com/post/TxBVEDL5Z8JKAC/Use-Amazon-Cognito-in-your-website-for-simple-AWS-authentication

• https://blogs.aws.amazon.com/javascript/post/TxTUNTVES4AL15/Authentication-in-the-Browser-with-Amazon-Cognito-and-Public-Identity-Providers

Может быть, я что-то отсутствует, но это, конечно, сбивает с толку.

Answer 3

Проверьте раздел «Целевые отношения» роли, назначенной вашему пулу идентификаторов, пользователям аутентификации. Убедитесь, что у вас есть политики, определяющие доступ к вашему бассейну Cognito.

Самый простой способ, чтобы получить заявления требование политики является,

1. Редактировать бассейн
2. Создать новую роль идентичности пула
3. В IAM редактировать эту роль, чтобы скопировать политические заявления
4. Добавить эти доверительные отношения к вашей требуемой существующей роли