Как изменить время истечения срока действия токенов доступа и идентификации для пулов пользователей AWS Cognito

В настоящее время это невозможно настроить для вашего пользовательского пула. Они установлены на один час для всех.

Изменить: см. Комментарий Майка, он был недавно добавлен.

По состоянию на 12 августа 2020 г. AWS объявила, что пулы пользователей теперь поддерживают настройку срока действия токенов. Вот шаги, которые нужно выполнить:

1. Откройте консоль AWS Cognito.
2. Go to General Settings.
3. Прокрутите вниз до App clients и нажмите "Изменить".
4. Нажмите кнопку Show Details, чтобы просмотреть параметры настройки, как показано ниже:

Срок действия токена доступа должен составлять от 5 минут до 1 дня. Не может быть больше, чем срок действия токена обновления.

Для получения дополнительных сведений об AWSognito перейдите по этой ссылке..

Я предполагаю, что вопрос в том, как получить детальный контроль над завершением сеанса Cognito. Есть способ сделать это. Но сначала давайте вспомним, как работает управление сеансами Cognito:

1. Срок действия токенов аутентификации истекает через час.
2. Новый токен аутентификации может быть запрошен после выдачи токена обновления.
3. По истечении от 1 до 30 дней Cognito не будет выдавать токен обновления - количество дней настраивается для каждого приложения в настройках клиента приложения.

Итак, что вы можете сделать, чтобы лучше контролировать продолжительность сеанса Cognito? Ответ состоит в том, чтобы вставить фильтр в ваш стек HTTP-запросов, который оценивает запрос - если пользователь должен выйти из системы по какой-либо причине, выполните перенаправление 302 на конечную точку выхода Cognito (и очистите файлы cookie сеанса также).

Это то, что мы делаем в Kubernetes с Envoy (с использованием прокси), а также Spring. Это также позволяет вам подключать логику, которая немедленно отменяет доступ к пользователю до истечения его 1-часового токена доступа.

См. https://docs.aws.amazon.com/cognito/latest/developerguide/logout-endpoint.html

Уточнение: этот ответ касается токена доступа (не токена обновления)

Вы можете настроить срок действия токена в консоли когнито General Settings / App Clients / {your app} / Show Details / Refresh token expiration (days)

https://docs.aws.amazon.com/cognito/latest/developerguide/amazon-cognito-user-pools-using-tokens-with-identity-providers.html

По умолчанию токен обновления истекает через 30 дней после того, как пользователь вашего приложения входит в пул пользователей. Когда вы создаете приложение для своего пользовательского пула, вы можете установить срок действия токена обновления приложения (в днях) на любое значение от 1 до 3650.

Похоже, что на данный момент для веб-клиента нет варианта на что-то менее суток (довольно странно).

Если вы используете Mobile SDK, тогда

https://docs.aws.amazon.com/cognito/latest/developerguide/amazon-cognito-user-pools-using-tokens-with-identity-providers.html

Mobile SDK для Android предлагает возможность изменить минимальный срок действия идентификатора и токенов доступа на значение от 0 до 30 минут. См. Метод setRefreshThreshold () CognitoIdentityProviderClientConfig в Справочнике по AWS Mobile SDK для Android API.

Если вы используете шаблон CloudFormation, добавьте следующий атрибут и укажите в днях (хотя официальные документы говорят, что по умолчанию это часы), как долго токен доступа должен быть действителен. Вот пример, где токен доступа действителен в течение 24 дней.

UserPoolClient:
    Type: "AWS::Cognito::UserPoolClient"
    Properties:
        ClientName: myuserpoolclient
        GenerateSecret: true
        UserPoolId: !Ref YourUserPool
        AccessTokenValidity: 24

Документация:

Cognito использует спецификацию OAuth 2.0. Чтобы обновить токен с истекшим сроком действия, вам нужно будет использовать значение Refresh Token, чтобы получить новый Id Token.

1. Чтобы пройти аутентификацию при запуске, идентификатор пользователя и пароль собираются у пользователя и отправляются в Cognito.
2. Вы получаете обратно два жетона. Один вы используете для «доступа» к API, а другой - для «обновления» по истечении срока доступа.
3. Вам не нужно снова просить пользователя ввести идентификатор пользователя и пароль; вам просто нужно использовать токен «обновления».
4. Вам не нужно хранить открытый текст пароля (что может создать угрозу безопасности), потому что токен «обновления» даст вам новый токен доступа.

Это действительно очень просто. Дополнительная информация в Документация Cognito по обновлению токенов