AWS Cognito 使用自定义属性 map Spring application ROLE 而不是 cognito:groups

Question

在我的应用程序中，用户分为 2 个宏类别：客户和后台，每个类别都有一个角色子集，例如客户类型的 MANAGER 和 USER 以及后台类型的不同角色。

因此，用户可以是具有 MANAGER 角色的 Customer 或具有 SALES 角色的 Backoffice。

每个 Spring + web 上的 Cognito 指南都使用 cognito:groups 到 map Spring ROLE，但就我而言，我需要嵌套组，这在 Cognito 上是不可能的。 我一直在考虑使用 2 个自定义属性（只能由管理员写入）来分别设置用户的类别和角色。

我的问题是，使用属性而不是组有什么缺点吗？

Answer 1

一个主要问题是，这些自定义属性将无法作为访问令牌中的声明使用。 但是组是可用的。 因此，如果您打算使用acces_token ，您可能需要考虑这一点。

我还可以想到其他一些小的注意事项，它们可能与您的实施相关，也可能不相关：

• 每个用户池的最大自定义属性数为 50。
• 创建后，您无法编辑自定义属性的名称、最小/最大长度和可变属性。 我们也不能删除它。

即使 Cognito 不支持嵌套组，是否也不能创建类似以下组的选项： category_role ？ 示例： Customer_ MANAGER ？