Amazon Cognito多租户最佳方法

我正在AWS上开发一个多租户应用程序。我正努力在cognito上实现多租户。我的第一种方法是为整个应用程序使用一个Cognito用户池和一个身份池。

目前,每个租户有两种用户(管理员和普通用户),因此我想为他们分配不同的IAM角色。

其想法是为每个用户角色创建一个Cognito组,并将其与各自的IAM角色相关联。它工作正常。当使用组进行角色分配时,我将身份池身份验证角色选择配置为“从令牌中选择角色”。

然而,有20个租户,将需要40个组,每个用户池的Cognito组限制为25个。

每个租户使用Cognito用户池也有同样的不便,因为Cognito用户池的限制是50(我们预计超过25个租户)。

这些都是软限制,所以我知道可以要求增加。事实上,我要求增加认知群的限制,但答案太长了。

作为Cognito Group的替代方案,我可以将身份池身份验证角色选择配置为“使用规则选择角色”。

通过这种方式,我添加了一个Cognito用户池自定义属性(自定义:角色),并使用如下规则配置了标识池Cognito Authenticate Provider:

if custom:role equals 'tenant1_admin' then assign TENANT_1_ADMIN_IAM_ROLE

if custom:role equals 'tenant1_regular' then assign TENANT_1_REGULAR_IAM_ROLE

...

if custom:role equals 'tenant20_admin' then assign TENANT_20_ADMIN_IAM_ROLE

if custom:role equals 'tenant20_regular' then assign TENANT_20_REGULAR_IAM_ROLE

这是在Cognito上实现多租户的正确方法吗?据我所知,身份池认证提供者规则的数量没有限制。