Een bedrijf exploiteert een aangepaste online gaming-applicatie en gebruikt Amazon Cognito voor authenticatie en autorisatie. De beveiligingsingenieur moet gedetailleerde autorisatie in de applicatie implementeren op basis van bestaande Cognito-gebruikersattributen. Het bedrijf heeft al een Cognito user pool en identity pool. Welke aanpak voldoet aan deze vereisten?

De correcte aanpak is het maken van een policy store in Amazon Verified Permissions en Cognito te configureren als de identiteitsbron. Amazon Verified Permissions is een schaalbare, gedetailleerde autorisatieservice die specifiek is ontworpen voor het beheren van complexe, op attributen gebaseerde toegangscontroles (ABAC). Door Cognito als identiteitsbron te gebruiken, kan de applicatie de bestaande gebruikersattributen van Cognito benutten om gedetailleerde autorisatiebeslissingen te nemen binnen Verified Permissions. De andere opties zijn minder geschikt: IAM-rollen en -beleidsregels zijn primair bedoeld voor toegang tot AWS-resources en minder voor gedetailleerde autorisatie binnen een applicatie op basis van gebruikersattributen. AWS Resource Access Manager (AWS RAM) is bedoeld voor het delen van AWS-resources tussen accounts of binnen een organisatie, niet voor gedetailleerde autorisatie van applicatiegebruikers. IAM-gebruikers en -beleidsregels zijn voor het beheren van toegang tot AWS-resources door menselijke gebruikers of services, niet voor het toewijzen van Cognito-gebruikers aan specifieke applicatierechten.