身份管理
自助注册
客户对您网站的第一次体验通常来自自助注册流程。Amazon Cognito 提供可定制、预打包的托管用户界面以快速进入市场，并提供一组强大的 API 来构建完全自定义的自助注册解决方案。用户可以使用您的应用程序的电子邮件、电话号码或用户名进行注册。自助注册流程使用户能够查看和更新他们的个人资料数据，包括自定义属性。使用自助服务选项减少帮助中心的呼叫数量，例如通过 SMS 消息或电子邮件重置密码。
身份存储（Amazon Cognito 用户池）
Amazon Cognito 提供一个可将用户规模扩展到数以百万计的安全身份存储（用户池）。对于直接注册的用户和使用外部身份提供者登录的联合用户，用户池可以安全地存储用户个人资料数据。
Amazon Cognito 身份存储是基于 API 的用户存储库。存储库和 API 支持每个用户最多存储 50 个自定义属性，支持不同的数据类型，并强制执行长度和可变性约束。选择用户在完成注册过程之前必须提供的所需属性
迁移选项
用户可以使用批量导入或即时（JIT）迁移迁移到 Amazon Cognito。利用 CSV 文件导入流程实现批量用户迁移。使用 JIT 迁移流程时，Lambda 触发器会将迁移流程集成到登录工作流中，并且可以保留用户的密码。
多租户和租户隔离
Amazon Cognito 通过多租户支持实现 B2B 交互。可以选择重用应用程序集成、访问和密码策略，或者强制实施完全的租户隔离。
用户身份验证
可自定义 UI
Amazon Cognito 提供了一个内置且可自定义的 UI，让用户注册和登录。您可以使用 Amazon Cognito 的 Android、iOS 和 JavaScript SDK 为应用程序添加用户注册和登录页面。
多重身份验证（MFA）
可以通过在 Amazon Cognito 用户池中启用 MFA 来为客户增加额外的安全层。用户可以使用 SMS 或基于时间的一次性密码（TOTP）生成程序验证其身份，如 Google Authenticator。Amazon Cognito 还支持在不同的用户池上配置不同的密码规则。
自适应身份验证
通过自适应身份验证保护您的用户账户并增强他们的登录体验。当 Amazon Cognito 检测到异常的登录活动，例如有人尝试在新位置和新设备登录时，则会为该活动分配一个风险分数，让您选择是提示用户进行额外验证还是拦截登录请求。
联合身份验证
作为一个联合身份验证中心，Amazon Cognito 使用户能够通过社交身份提供商（例如 Apple、Facebook、Google 和 Amazon）以及通过 SAML 和 OIDC 的企业身份提供商登录。Amazon Cognito 是一个基于标准的身份提供商。一旦用户登录到 Amazon Cognito（通过本地身份验证或外部联合身份验证），他们就可以使用 OAuth/OIDC 访问联合资源。
访问控制
与应用程序的最终集成
Amazon Cognito 可确保与应用程序的最终集成。Amazon 应用程序负载均衡器（ALB）和 Amazon API Gateway 具有内置的策略执行点，可提供基于 Amazon Cognito 令牌和范围的访问。
访问 AWS 资源
Amazon Cognito 的凭证代理（也称为 Amazon Cognito 身份池）提供对 AWS 资源的单点登录访问，例如 Amazon DynamoDB、Amazon S3 存储桶、AWS Lambda 无服务器组件和其他 Amazon 服务。用户可以动态映射到不同的角色，以支持对服务的最低权限访问。
机器对机器身份验证
Amazon Cognito 使用 OAuth 客户端凭证流提供机器对机器身份验证，确保应用程序组件之间的安全体验。
客户体验
客户外联
使用数据驱动的方法来推动客户获取和保留。启动客户外联活动并跟踪与 Amazon Pinpoint 的互动。Amazon Pinpoint 为基于 Amazon Cognito 的用户活动提供分析，而 Amazon Cognito 则丰富了 Pinpoint 活动的用户数据。
业务敏捷性增强
AWS Amplify 是一组专门构建的工具和功能，使前端 Web 和移动开发人员可以快速、轻松地在 AWS 上构建全堆栈应用程序，随着使用案例的发展，可以灵活地利用广泛的 AWS 服务。借助 Amplify，您可以使用 Amazon Cognito 配置 Web 或移动应用程序后端，并在几分钟内连接您的应用程序，直观地构建 Web 前端 UI，并在 AWS 管理控制台之外轻松管理应用程序内容。无需云专业知识，就可更快发布和扩展。
可扩展性
CIAM 解决方案是自定义解决方案。Amazon Cognito 提供了一组强大的钩子和扩展程序，以完全自定义身份验证、注册和用户迁移流程。例如，可以通过自定义身份证明和账户验证检查来增强自助注册流程，并且可以扩展登录流程以创建自定义身份验证流程或在生成令牌之前对其进行修改。
Amazon Cognito 开发工具包可使用 Java、C++、PHP、Python、Golang、Ruby、.NET 和 JavaScript。
安全性
机器人检测
通过与 Amazon Web Application Firewall (WAF) 的合作，Amazon Cognito 提供了先进的机器人检测功能，可为您的组织省去自动化的费用。
泄露凭证保护
Amazon Cognito 可以实时检测和防止在用户注册、登录或更改密码时重复使用受损凭证。Amazon Cognito 检测到用户输入了已在其他地方遭泄露的凭证时，会提示他们更改密码。
合规性
Amazon Cognito 可满足多种安全性与合规性要求，包括医疗保健公司和企业等受高度管制的组织的相关要求。Amazon Cognito 符合 HIPAA 要求，并满足 PCI DSS、SOC、ISO/IEC 27001、ISO/IEC 27017、ISO/IEC 27018 和 ISO 9001 标准。
