「帳戶」如何與AWS身份令牌自動售貨機一起使用？

Question

我按照說明在這個崗位http://mobile.awsblog.com/post/Tx371Y7CA0QJ95X/Simplifying-Token-Vending-Machine-Deployment-with-AWS-CloudFormation

而且我可以看到，它的工作有點，我的理解是什麼TVM是與整體的概念，爲什麼它的需要，但我仍然有很難理解這是如何工作的在實踐中。我在某個地方看過一篇文章，指出匿名令牌自動販賣機是爲只讀而設計的，如果我想提供寫入權限，我需要使用身份TVM。

在演示程序中，它讓我在我設置的cloudformation服務器上註冊我的帳戶，但我不明白它如何與我自己的web應用程序一起工作。我有一個移動應用程序，連接到Rails應用程序，我需要用戶上傳他們的個人資料圖像以及發佈照片內容。我已經有應用程序正在運行，除了與TVM的集成部分（基本上我的新聞憑據嵌入在亞馬遜不推薦的應用程序中）

所以我的問題是如何將現有的基於REST的iOS應用程序與身份令牌自動售貨機上傳照片到S3？如何在不註冊我的應用程序的情況下，讓用戶爲身份令牌自動販賣機單獨創建一個「帳戶」來集成它？

Answer 1

您的應用可以充當TVM，將您的用戶身份映射到具有所需權限的IAM角色。然後可以使用STS上的AssumeRole調用爲這些用戶創建臨時憑證。然後，您的應用程序使用這些憑據創建一個S3Client對象，並使用它來上傳照片。

請參閱「聯合身份驗證」和的的IAM Roles documentation

的AWS Web Identity Federation Playground「網絡身份聯盟」的部分是一個很好的示例應用程序，看看它是怎麼工作。

CoudFormation將自動創建，更新和刪除AWS資源，包括EC2實例和IAM角色，但不會與用戶身份驗證直接相關。

Answer 2

我們最近推出了Amazon Cognito，這在很多情況下避免了對TVM的需求，特別是在「匿名TVM」案例中。通過Cognito的未經身份驗證的訪問，您可以授予您的應用程序用戶對各種AWS資源的有限訪問權限。 Cognito利用IAM角色和STS的現有功能來提供這些憑證。

如果您想要維護與現有後端身份驗證解決方案的集成，您需要生成並維護應用程序的身份標識列表。您可以閱讀更多關於我們的API documentation中涉及的API。