Características de Amazon Cognito

¿Qué es Amazon Cognito?

Amazon Cognito le permite agregar el registro de usuarios, el inicio de sesión, el control de acceso y el acceso a los servicios de AWS de intermediación a sus aplicaciones web y móviles en cuestión de minutos. Es un servicio rentable y centrado en el desarrollador que proporciona almacenes de identidades seguros y basados en inquilinos y opciones de federación que pueden escalar a millones de usuarios. Amazon Cognito lo ayuda a crear experiencias de marca para los clientes, a mejorar la seguridad y adaptarse a las necesidades de sus clientes. Por ejemplo, admite el inicio de sesión con proveedores de identidad social y el inicio de sesión sin contraseña mediante claves de paso WebAuthn o contraseñas de un solo uso por SMS y correo electrónico. Amazon Cognito admite varios estándares de cumplimiento, funciona con estándares de identidad abiertos y se integra con un amplio catálogo de recursos de desarrollo y bibliotecas de SDK.

Page Topics

Autenticación de usuarios Administración de identidades Control de acceso Experiencia del cliente Seguridad avanzada Auditoría y cumplimiento

Autenticación de usuarios

Los desarrolladores pueden usar un editor visual sin código para ajustar la apariencia de las pantallas de los usuarios finales (como las de registro, inicio de sesión y MFA). Los parámetros de configuración incluyen colores, posicionamiento, alineación, texto, idioma, fondos, imágenes, logotipos, fuentes y diseño, entre otros. Con estas opciones de configuración, el estilo de una marca de consumo puede adaptarse perfectamente y las experiencias de usuario que ofrece Cognito pueden ser más coherentes y coherentes con las del resto de la aplicación.

Los clientes pueden configurar Amazon Cognito para permitir a los usuarios finales acceder a las aplicaciones sin necesidad de recordar una contraseña, lo que reduce la fricción, mejora la seguridad y aumenta la conversión de usuarios. Los flujos de autenticación sin contraseña compatibles incluyen el inicio de sesión con correo electrónico, el inicio de sesión con teléfono o SMS y el inicio de sesión con claves de paso. Esta flexibilidad mejora la experiencia del usuario y simplifica el proceso de inicio de sesión.

Las claves de paso de WebAuthn brindan una seguridad mejorada al eliminar la necesidad de contraseñas, lo que reduce el riesgo de suplantación de identidad y robo de credenciales. Ofrecen una experiencia de usuario perfecta con métodos de autenticación más rápidos y prácticos, como la biometría o los tokenes de hardware. Además, las claves de paso mejoran la seguridad general de la cuenta al aprovechar la criptografía de clave pública, lo que garantiza que la información confidencial nunca se transmita ni se almacene en los servidores. Amazon Cognito ofrece soporte para [Inicio de sesión administrado] y API para crear y almacenar hasta 20 claves de paso por cuenta.

Puede agregar una capa adicional de seguridad para sus clientes habilitando la MFA para las cuentas de usuario. Los usuarios pueden verificar sus identidades mediante correo electrónico, SMS o un generador de contraseñas temporales de un solo uso (TOTP) basadas en el tiempo, como Google Authenticator. Amazon Cognito también permite la configuración de diferentes reglas de contraseña en diferentes grupos de usuarios.

Como centro de federación, Amazon Cognito permite a los usuarios iniciar sesión a través de proveedores de identidad social, como Apple, Facebook, Google y Amazon, y proveedores de identidad empresarial a través de SAML y OIDC. Amazon Cognito admite una variedad de perfiles SAML (incluidos los flujos iniciados por SAML SP, los flujos iniciados por IdP y el cifrado SAML). Una vez que sus usuarios inician sesión en Amazon Cognito (mediante autenticación local o federación externa), pueden usar OAuth/OIDC para acceder a los recursos federados.

Amazon Cognito le permite crear flujos de autenticación personalizados que utilizan las funciones de AWS Lambda para autenticar a los usuarios en función de uno o más ciclos de desafío-respuesta. Puede usar este flujo para implementar esquemas de autenticación personalizados que se basen en desafíos personalizados o usar desafíos personalizados como factores adicionales.

Utilice los activadores de AWS Lambda para personalizar el comportamiento de Cognito, incluidas las etapas del ciclo de vida de los usuarios, como antes y después de la autenticación y el registro o antes de la emisión de los tokens. También puede usar los activadores de Lambda para personalizar los mensajes que se envían a los usuarios en diferentes etapas o para integrarlos con proveedores de correo electrónico y SMS de terceros.

Administración de identidades

Con frecuencia, la primera experiencia de un cliente en un sitio web es a través del proceso de autorregistro. Amazon Cognito proporciona una interfaz de inicio de sesión gestionada, preempaquetada y personalizable para llegar rápidamente al mercado y un conjunto sólido de API para crear una solución de registro automático totalmente personalizada. Los usuarios pueden registrarse con un correo electrónico, número de teléfono o nombre de usuario para su aplicación. El proceso de autorregistro permite a los usuarios ver y actualizar sus datos de perfil, incluidos los atributos personalizados. Reduzca las llamadas al servicio de asistencia con opciones de autoservicio, como el restablecimiento de la contraseña con un mensaje SMS o un correo electrónico.

Amazon Cognito proporciona almacenes de identidades seguros y basados en inquilinos (grupos de usuarios) que se adaptan a millones de usuarios. Los grupos de usuarios almacenan de forma segura los datos del perfil de usuario para los usuarios que se registran directamente y para los usuarios federados que inician sesión con proveedores de identidad externos.

El almacén de identidades de Amazon Cognito es un repositorio de usuarios basado en API. El repositorio y las API admiten el almacenamiento de hasta 50 atributos personalizados por usuario, admiten diferentes tipos de datos y aplican restricciones de longitud y mutabilidad. Seleccione los atributos que debe proporcionar el usuario antes de completar el proceso de registro.

Los usuarios pueden migrar a Amazon Cognito mediante una importación por lotes o una migración justo a tiempo (JIT). La migración de usuarios por lotes aprovecha un proceso de importación de archivos CSV. Con el proceso de migración de JIT, un desencadenador de AWS Lambda integra el proceso de migración en el flujo de trabajo de inicio de sesión y puede retener las contraseñas de los usuarios.

Amazon Cognito permite interacciones B2B con compatibilidad con el modelo de tenencia múltiple. Puede optar por volver a utilizar las integraciones de aplicaciones, las políticas de acceso y contraseñas, o aplicar un aislamiento completo de los usuarios.

Control de acceso

Amazon Cognito asegura la última milla de integración con una aplicación. AWS AppSync, equilibrador de carga de aplicación de Amazon y las Amazon API Gateways tienen puntos de aplicación de políticas integrados que proporcionan acceso en función de los alcances y los tokens de Amazon Cognito.

Con Amazon Verified Permissions Quick Start, los clientes pueden generar automáticamente políticas de permisos, asignar un control de acceso basado en roles en función de las membresías de grupos de Cognito y aplicar autorizaciones específicas. Amazon Verified Permissions tiene un autorizador de tokenes integrado que admite los tokenes de acceso e ID de Amazon Cognito, incluidas los complejos componentes de token en un token.

El agente de credenciales de Amazon Cognito, también conocido como grupos de identidades de Amazon Cognito, proporciona acceso de inicio de sesión único a los recursos de AWS, como Amazon DynamoDB, los buckets de Amazon S3, los componentes sin servidor de AWS Lambda y otros servicios de Amazon. Los usuarios pueden asignarse dinámicamente a diferentes roles para admitir el acceso con privilegios mínimos a un servicio.

Con el flujo de credenciales de cliente de OAuth, Amazon Cognito proporciona autenticación de máquina a máquina, lo que garantiza una experiencia segura entre los componentes de la aplicación.

Enriquezca los tokens de identificación y acceso con atributos personalizados en forma de alcances y reclamos de OAuth 2.0. Puede tomar decisiones de autorización avanzadas específicas de la aplicación mediante atributos personalizados en el token de acceso. Esta característica también le permite personalizar las experiencias de los usuarios finales y mejorar la participación de los clientes.

Experiencia del cliente

Usar un enfoque basado en datos para impulsar la adquisición y retención de clientes. Lance campañas de captación de clientes y realice un seguimiento de la interacción con Amazon Pinpoint. Amazon Pinpoint proporciona análisis para las actividades de los usuarios basadas en Amazon Cognito, y este enriquece los datos de los usuarios para las campañas de Pinpoint.

AWS Amplify es un conjunto de herramientas y características creadas específicamente para que los desarrolladores web y móviles de frontend puedan crear aplicaciones de pila completa en AWS de forma rápida y sencilla, con la flexibilidad de aprovechar la amplitud de los servicios de AWS a medida que sus casos de uso evolucionan. Con Amplify, puede configurar un backend de aplicación web o móvil con Amazon Cognito, conectar su aplicación en minutos, crear visualmente una interfaz de usuario web y administrar fácilmente el contenido de la aplicación fuera de la consola de AWS. Envíe de manera más rápida y escale sin esfuerzo. No es necesario contar con experiencia en la nube.

Las soluciones CIAM son soluciones personalizadas. Amazon Cognito proporciona un sólido conjunto de enlaces y extensiones para personalizar completamente los flujos de autenticación, registro y migración de usuarios. Por ejemplo, el flujo de registro automático se puede aumentar con pruebas de identidad personalizadas y controles de verificación de cuenta, y el proceso de inicio de sesión se puede ampliar para crear flujos de autenticación personalizados o modificar un token antes de que se genere.

El SDK de Amazon Cognito está disponible con Java, C++, PHP, Python, Golang, Ruby, .NET y JavaScript.

Seguridad avanzada

Con una integración incorporada con AWS Web Application Firewall (AWS WAF), Amazon Cognito ofrece funciones avanzadas de detección de bots que pueden ayudar a que su organización no tenga que pagar por cuentas automatizadas y reducir el impacto de los ataques de bots.

Amazon Cognito puede detectar y evitar, en tiempo real, la reutilización de credenciales comprometidas cuando los usuarios se registran, inician sesión o cambian su contraseña. Cuando Amazon Cognito detecta que el usuario ha especificado unas credenciales que se han visto comprometidas en otro sitio, le solicita que cambie la contraseña.

Proteja las cuentas de los usuarios y mejore la experiencia de inicio de sesión por medio de la autenticación adaptativa. Cuando Amazon Cognito detecta una actividad de inicio de sesión inusual, como intentos desde nuevas ubicaciones y dispositivos o condiciones de viaje imposibles según la geolocalización de la IP, asigna una puntuación de riesgo a la actividad y le permite elegir entre solicitar a los usuarios una verificación adicional o bloquear la solicitud de inicio de sesión.

Auditoría y cumplimiento

Amazon Cognito admite la supervisión con AWS CloudTrail, Métricas de Amazon CloudWatch e Información de registros de Amazon CloudWatch. CloudTrail permite capturar las llamadas a la API desde la consola de Amazon Cognito y desde las llamadas de código a las operaciones de la API de Amazon Cognito. Las métricas de CloudWatch permiten supervisar, elaborar informes y tomar medidas automáticas casi en tiempo real en caso de que se produzca un evento. La Información de registros de CloudWatch permite configurar CloudTrail de modo que envíe eventos a CloudWatch para supervisar los archivos de registro de Amazon Cognito CloudTrail.

Amazon Cognito ofrece un registro avanzado de los eventos de los usuarios, como el inicio de sesión, el registro y los cambios de contraseña, y captura datos detallados de las solicitudes, como el nivel de riesgo, la ubicación, la IP de origen y el agente de usuario. Los clientes pueden transmitir estos datos de registro de eventos a Amazon CloudWatch, Amazon S3 o soluciones de agregación de registros de terceros a través de Amazon Kinesis Data Firehose. Esto permite una supervisión y un análisis exhaustivos de la actividad de los usuarios.

Amazon Cognito se alinea con múltiples requisitos de seguridad y cumplimiento, incluidos los de organizaciones altamente reguladas, como empresas de atención médica y comerciantes. Amazon Cognito cumple los requisitos de HIPAA, PCI DSS, SOC, ISO/IEC 27001, ISO/IEC 27017, ISO/IEC 27018 e ISO 9001.