`aws.cognito.signin.user.admin`范围在Amazon Cognito中意味着什么？

Question

Amazon Cognito有许多系统保留范围：

• OpenID的
• 电子邮件
• 电话
• 轮廓
• aws.cognito.signin.user.admin

但是没有记录他们提供的访问权限。

前3个是相当不言自明的。 我希望个人资料意味着用户个人资料。

我通过反复试验发现我需要aws.cognito.signin.user.admin来使用Amazon Cognito Get User API调用 。 我原本以为这是profile ，但好吧，好吧。

我关心的是aws.cognito.signin.user.admin可能做的其他事情。 如果我让第三方客户请求此范围，我可以让他们访问什么？

Answer 1

aws.cognito.signin.user.admin范围使您可以访问可以使用访问令牌单独访问的所有用户池API （此处为完整文档） 。

请注意，这并不意味着用户可以任意访问所有AWS API（如IAM角色可能），但如果该API调用的请求语法包含"AccessToken": "string" ，则表示访问令牌使用aws.cognito.signin.user.admin授予将能够调用它。

通常，授权此类授权的Cognito UserPools API（以及它唯一的 Cognito UserPool API）允许您在自己的UserPools配置文件上修改某些内容（即不以Admin开头并影响单个配置文件）：

通过API一览，这些操作是（ https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_Operations.html ）：

• AssociateSoftwareToken
• 更改密码
• ConfirmDevice
• DeleteUser
• DeleteUserAttributes
• ForgetDevice
• 的getDevice
• 的getUser
• GetUserAttributeVerificationCode
• GlobalSignOut
• ListDevices
• SetUserMFAPreference
• SetUserSettings
• UpdateDeviceStatus
• UpdateUserAttributes
• VerifySoftwareToken
• VerifyUserAttribute