Como configurar o Google como um provedor de identidades federado em um grupo de usuários do Amazon Cognito?

Resolução

Criar um grupo de usuários do Amazon Cognito

Crie uma nova aplicação no console do Amazon Cognito.

Criar um projeto do Google API Console

Faça login no Google API Console com sua conta do Google e crie um projeto do Google Cloud. Para ver as etapas, consulte Fazer login com o Google para web no site do Google Identity e Criar um projeto do Google Cloud no site do Google Workspace.

Configure a tela de permissão OAuth

Conclua as etapas a seguir:

1. Abra o console de API do Google.
2. No painel de navegação, escolha a tela de consentimento do OAuth.
3. Configure os seguintes campos obrigatórios no formulário de consentimento:
   Em Nome da aplicação, insira um nome.
   Em Domínios autorizados, digite amazoncognito.com.
   Importante: você deve inserir esse domínio para usar seu domínio do Amazon Cognito ao criar um ID de cliente OAuth.
4. Selecione Salvar.

Obtenha as credenciais do cliente OAuth 2.0

Conclua as etapas a seguir:

1. Abra o console de API do Google.
2. Na página Credenciais, escolha Criar credenciais.
3. Escolha ID do cliente OAuth.
4. Na página Criar ID do cliente OAuth, em Tipo de aplicação, escolha Aplicativo web.
5. Defina as seguintes configurações:
   Insira um Nome para o ID do cliente OAuth.
   Em Origens JavaScript autorizadas, insira seu domínio do Amazon Cognito, como https://yourDomainPrefix.auth.region.amazoncognito.com.
   Observação: substitua yourDomainPrefix pelo domínio do seu grupo de usuários e region pela região da AWS do grupo de usuários. 
   Para encontrar o prefixo de domínio e a região do seu grupo de usuários, faça o seguinte:
   Abra o console do Amazon Cognito.
   Selecione Grupos de usuários na navegação à esquerda.
   Escolha seu grupo de usuários.
   No menu de navegação à esquerda, escolha Integração de aplicação. Vá até a seção Domínio para encontrar o prefixo e a região do seu domínio.
   Em URIs de redirecionamento autorizados, digite https://yourDomainPrefix.auth.region.amazoncognito.com/oauth2/idpresponse.
   Observação: substitua yourDomainPrefix e region pelos valores do seu grupo de usuários.
6. Na caixa de diálogo Cliente OAuth, anote o ID e o segredo do cliente.

Configure o Google como um IdP federado em seu grupo de usuários

Use o console do Amazon Cognito para configurar seu grupo de usuários com um IdP social e defina as seguintes configurações:

• Em Adicionar um provedor de identidade, escolha Google.
• Em Mapear atributos entre o Google e seu grupo de usuários, mapeie o atributo do grupo de usuários do e-mail para o atributo de e-mail do Google.

Altere as configurações do cliente da aplicação para seu grupo de usuários

Observação: nas configurações do cliente da aplicação, os atributos mapeados do grupo de usuários devem ser graváveis. Para mais informações, consulte Mapeamento de atributos do IdP para perfis e tokens.

Conclua as etapas a seguir:

1. Abra o console do Amazon Cognito.
2. Escolha Grupos de usuários e, em seguida, seu grupo de usuários.
3. Escolha a aba Integração de aplicações.
4. Em Lista de clientes de aplicações, selecione Criar cliente de aplicação.
5. Defina as seguintes configurações:
   Em Tipo de aplicação, escolha Cliente público e insira um nome para seu cliente de aplicação.
   Para Fluxos de autenticação, selecione ALLOW_USER_PASSWORD_AUTH e ALLOW_REFRESH_TOKEN_AUTH.
   Em URL(s) de retorno de chamada permitido(s), insira um URL para o qual você deseja redirecionar seus usuários após o login. Para testar, insira qualquer URL válido, como https://www.exemplo.com/.
   Em URL(s) de saída, insira o URL para o qual você deseja redirecionar seus usuários após o logout. Para testar, insira qualquer URL válido, como https://www.exemplo.com/.
   Em Provedores de identidades, selecione Grupo de usuários do Cognito e Google.
   Em Tipo de concessão do OAuth 2.0, escolha Concessão implícita.
   Em Escopos do OpenID Connect, selecione email, openid e profile.
   Importante: o fluxo de concessão implícita do OAuth serve apenas para fins de teste. É uma prática recomendada usar a concessão de código de autorização para sistemas de produção.
6. Escolha Criar cliente de aplicação.

Para mais informações sobre as configurações do cliente de aplicação, consulte os Termos do cliente de aplicação.

Estruture o URL do endpoint

Para criar o URL do endpoint de login para a interface de usuário web hospedada no Amazon Cognito, use o seguinte formato:

https://yourDomainPrefix.auth.region.amazoncognito.com/login?response_type=token&client_id=yourClientId&redirect_uri=redirectUrl

Observação: substitua yourDomainPrefix pelo domínio do grupo de usuários e region pela região do grupo de usuários. Substitua yourClientId pelo ID do cliente da aplicação do Amazon Cognito e redirectUrl pelo URL de retorno de chamada do cliente da aplicação.

Para encontrar o prefixo de domínio e a região do seu grupo de usuários, conclua as seguintes etapas:

1. Abra o Console do Amazon Cognito.
2. Selecione Grupos de usuários na navegação à esquerda.
3. Selecione seu grupo de usuários.
4. No menu de navegação à esquerda, escolha Integração de aplicação.
5. Role até a seção Domínio para encontrar o prefixo e a região do seu domínio.

Para encontrar o ClientID e redirectUrl, conclua as seguintes etapas:

1. Abra o console do Amazon Cognito.
2. Escolha Grupos de usuários na navegação à esquerda.
3. Selecione seu grupo de usuários.
4. No menu de navegação à esquerda, escolha Integração de aplicação.
5. Vá até Clientes de aplicação para encontrar o ClientId e redirectUrl.
   Observação: selecione o cliente de aplicação para ver seus detalhes, incluindo os URLs de redirecionamento configurados.

Teste o URL do endpoint

Conclua as etapas a seguir:

1. Insira o URL do endpoint de login em seu navegador.
2. Na página da Web do endpoint de login, escolha Continuar com o Google.
   Observação: se a página redirecionar você para o URL de retorno de chamada do cliente de aplicação do Amazon Cognito, você já estará conectado à sua conta do Google no navegador. Os tokens do grupo de usuários aparecem na URL na barra de endereço do seu navegador da web.
3. Em Fazer login com o Google, escolha sua conta do Google e, em seguida, faça login.

Depois de se autenticar, você será redirecionado para a URL de retorno de chamada do seu cliente da aplicação Amazon Cognito. Os tokens Web JSON (JWT) emitidos pelo grupo de usuários aparecem no URL na barra de endereço do navegador da web.

Informações relacionadas

Usando provedores de identidade social com um grupo de usuários

Login do grupo de usuários com provedores de identidade terceiros

Manage APIs in the API console (Gerenciar APIs no console de API) no site de Ajuda do Google