Como usar o Amazon Cognito como um provedor de identidade OpenID SSO

Question

Atualmente, usamos o Google como provedor de identidade OpenID para nossa plataforma da web. Precisamos nos afastar disso. Eu descobri o Amazon Cognito (já usamos o EC2 / S3 e o resto).

Eu descobri o well_known aqui: https://cognito-idp.us-east-1.amazonaws.com/us-east-1_UxUwcIy3y/.well-known/openid-configuration

Então eu peguei o authorization_endpoint que é https://cognito-idp.us-east-1.amazonaws.com/us-east-1_UxUwcIy3y .

No entanto, não importa o que eu passe para ele, incluindo response_type , scope , client_id , redirect_uri , sempre me dá:

{"code":"BadRequest","message":"The server did not understand the operation that was requested.","type":"client"}

Sem outras informações.

Não parece haver documentação pública relacionada a esse recurso. O que estou tentando fazer é possível (fazer o Cognito agir como o Google OpenID IDP)? Alguém tem alguma documentação sobre o que passar para authorization_endpoint. Entendo que o SDK do Amazon Cognito Mobile fornece uma maneira de incorporar o SSO em aplicativos, mas talvez não seja possível fazer isso diretamente da maneira que estou fazendo. Eu já configurei um pool de usuários.

    

Answer 1

Eu encontrei o mesmo problema. Infelizmente, parece que OpenId Connect ainda não é compatível com os pools de usuários do Cognito e você precisaria usar os pools de identidade. No Fórum da AWS , encontrei a seguinte resposta:

The authorization endpoint is currently just a placeholder for our future release where me might act as OpenId IDP but as of today it doesn't do anything and the error you are seeing is expected. We would consider this as a feature request for our future releases.

Curiosamente, porque a documentação Using Tokens with User Pools refere-se à especificação do OpenId Connect.