Qu’est-ce qu’Amazon Cognito et comment fonctionne-t-il ?

Amazon Cognito est un produit Amazon Web Services qui contrôle l’authentification des utilisateurs et l’accès aux applications mobiles sur les appareils connectés à Internet. Le service enregistre et synchronise les données de l’utilisateur final, ce qui permet à un développeur d’applications de se concentrer sur l’écriture de code au lieu de créer et de gérer l’infrastructure back-end. Cela peut accélérer le processus de développement d’applications mobiles.

Contrôle d’accès passant par authentification et l’autorisation nécessite la confirmation de deux choses : l’identité de la personne essayant d’accéder à l’appareil ou au site Web, et si elle est réellement autorisée à le faire. Ces deux aspects sont essentiels pour garantir que les organisations peuvent protéger leurs réseaux et leurs ressources protégées contre les mauvais acteurs. C’est ici qu’Amazon Cognito entre en jeu.

Amazon Cognito collecte les attributs de profil d’un utilisateur dans des répertoires appelés groupes d’utilisateurs qu’une application mobile ou une application Web utilise pour configurer un accès limité à AWS Ressources. Un pool d’identité consolide les informations de l’utilisateur final, que les plates-formes d’accès client, les périphériques et les systèmes d’exploitation reçoivent pour organiser les groupes d’identité fédérés.

Les données se synchronisent avec AWS lorsqu’un appareil est en ligne, ce qui permet une utilisateur final pour accéder aux mêmes informations sur un autre appareil. Les données peuvent également être enregistrées localement dans une base de données SQLite hors ligne avant de se reconnecter. Amazon Cognito associe des ensembles de données à des identités et enregistre des informations chiffrées sous forme de paires de clés ou de valeurs dans le magasin Amazon Cognito Sync. Chaque utilisateur peut enregistrer un maximum de 20 Mo de données, chaque ensemble de données individuel contenant jusqu’à 1 Mo.

Un développeur peut configurer Amazon Cognito pour accepter des flux d’événements lorsque les données sont mises à jour et synchronisées. Un développeur mobile peut également interroger des données via d’autres services cloud AWS, tels qu’un Amazon Redshift base de données, Service de base de données relationnelle (RDS) exemple ou un Service de stockage simple Amazon (S3) déposer.

Groupes d’utilisateurs et groupes d’identités : comprendre les différences

Les deux principaux composants d’Amazon Cognito sont :

• Groupes d’utilisateurs: répertoires d’utilisateurs qui offrent des options d’inscription et de connexion aux utilisateurs de l’application.
• Pools d’identité: les éléments Cognito permettent aux utilisateurs d’accéder à d’autres services AWS (par exemple, Amazon S3 et DynamoDB).

Avec un groupe d’utilisateurs, les utilisateurs peuvent se connecter à une application via Amazon Cognito, des fournisseurs d’identité sociale (par exemple, Google ou Facebook) ou via Security Assertion Markup Language (SAML) fournisseurs d’identité. Chaque utilisateur aura un profil d’annuaire. Un développeur peut accéder à ces profils via un kit de développement logiciel (SDK). Les groupes d’utilisateurs peuvent rechercher les informations d’identification compromises, fournir une vérification par e-mail et par téléphone et proposer une authentification multifacteur (AMF) pour plus de sécurité. Un administrateur peut également intégrer AWS Lambda avec Amazon Cognito Identity pour ajouter une logique aux fonctionnalités de sécurité personnalisables.

Si une organisation doit fournir aux utilisateurs un accès aux ressources AWS, elle peut configurer un groupe d’identités. Les pools d’identités sont des identités fédérées qui prennent en charge l’authentification via des pools d’utilisateurs et des fournisseurs d’identité, les fournisseurs d’identité SAML et même les identités non authentifiées (utilisateurs invités). Avec les pools d’identités, les organisations peuvent créer des identités uniques et attribuer des autorisations aux utilisateurs.

Les groupes d’identités et les groupes d’utilisateurs peuvent être utilisés séparément ou ensemble.

Fonctionnement de l’authentification Amazon Cognito : un processus en 4 étapes

Voici comment l’authentification fonctionne lorsque les pools d’identités et les pools d’utilisateurs sont utilisés ensemble:

1. L’utilisateur se connecte via un groupe d’utilisateurs.
2. Une fois authentifiés avec succès, ils reçoivent un jeton de groupe d’utilisateurs.
3. L’application échange le jeton contre les informations d’identification AWS via un groupe d’identités.
4. L’utilisateur peut utiliser ces informations d’identification AWS authentifiées pour accéder à d’autres services dans le cloud AWS.

Synchronisation des données utilisateur avec AWS Cognito Sync

Synchronisation AWS Cognito synchronise les données de profil utilisateur sur les appareils mobiles et les applications Web. La fonctionnalité permet aux utilisateurs d’obtenir un ID utilisateur et des informations d’identification normalisés avec Amazon Cognito.

Le service prend en charge les appareils Android et iOS avec des bibliothèques clientes de haut niveau qui mettent en cache les données utilisateur localement. Ce dernier rend les données disponibles même si un appareil lui-même est hors ligne.

Les données utilisateur sont conservées dans un ensemble de données. Ces données ne sont accessibles qu’aux informations d’identification attribuées à une identité particulière. Pour fournir des identités d’utilisateur, Cognito Sync nécessite un groupe d’identités Amazon Cognito.

Par conséquent, pour utiliser Amazon Cognito Sync, une organisation doit d’abord configurer un groupe d’identités.

Amazon Cognito Sécurité et protection des données

La sécurité dans Amazon Cognito s’aligne sur le modèle de « sécurité partagée » AWS pour la protection des données. AWS assure la sécurité de le cloud, tandis que les organisations sont responsables de la sécurité dans le nuage.

Pour une couche de sécurité supplémentaire, Amazon Cognito prend en charge MFA et chiffre données au repos et en transit selon les normes de l’industrie. Il est également conforme à de nombreuses normes et réglementations en matière de protection des données, notamment :

Amazon Cognito prend également en charge un certain nombre de gestion des identités et des accès (JE SUIS) capacités, y compris :

• Politiques basées sur l’identité
• Actions politiques
• Identifiants temporaires
• Rôles de service
• Rôles liés au service

Tarification d’Amazon Cognito

Les utilisateurs actifs mensuels (MAU) déterminent le prix d’Amazon Cognito. Un utilisateur est une MAU s’il y a une opération d’inscription, de connexion, d’actualisation de jeton ou de changement de mot de passe liée à cet utilisateur au cours d’un mois calendaire.

Les 50 000 premières MAU sont gratuites. Par la suite, la tarification est basée sur un modèle à plusieurs niveaux basé sur le nombre de MAU.

Les frais de Cognito Sync sont basés sur le nombre d’opérations de synchronisation et la quantité de données dans le magasin de synchronisation Cognito. Avec l’offre gratuite d’AWS, une entreprise peut stocker 10 Go de données et effectuer 1 000 000 d’opérations de synchronisation en un mois, pendant jusqu’à 12 mois. Une fois l’offre gratuite épuisée, Amazon Cognito facture 15 centimes par Go de stockage de synchronisation par mois et 15 centimes par tranche de 10 000 opérations de synchronisation.