Firma obsługuje niestandardową aplikację do gier online i używa Amazon Cognito do uwierzytelniania i autoryzacji. Inżynier bezpieczeństwa musi zaimplementować szczegółową autoryzację w aplikacji w oparciu o istniejące atrybuty użytkowników Cognito. Firma posiada już pulę użytkowników Cognito i pulę tożsamości. Które podejście spełnia te wymagania?

Prawidłowa odpowiedź to utworzenie magazynu polityk w Amazon Verified Permissions i skonfigurowanie Cognito jako źródła tożsamości. Amazon Verified Permissions (AVP) to usługa autoryzacji drobnoziarnistej, która doskonale integruje się z Amazon Cognito. Umożliwia ona definiowanie polityk autoryzacji opartych na atrybutach użytkowników Cognito (np. grupach, niestandardowych atrybutach), co spełnia wymaganie szczegółowej autoryzacji. Mapowanie tokenów dostępu Cognito do schematu AVP pozwala na dynamiczne podejmowanie decyzji autoryzacyjnych w czasie rzeczywistym. Pozostałe opcje są nieprawidłowe: Tworzenie ról i polityk IAM oraz przypisywanie ich przez pulę tożsamości Cognito jest możliwe, ale IAM jest usługą do zarządzania dostępem do zasobów AWS, a nie do drobnoziarnistej autoryzacji w aplikacji. AWS Resource Access Manager (AWS RAM) służy do udostępniania zasobów AWS innym kontom lub organizacjom, a nie do autoryzacji użytkowników w aplikacji. Konfigurowanie puli użytkowników Cognito do przypisywania użytkowników do użytkowników IAM jest nieprawidłowe, ponieważ Cognito User Pools służą do zarządzania tożsamościami użytkowników aplikacji, a nie do bezpośredniego mapowania na użytkowników IAM.