如何在AWS Cognito中执行组限制访问

Question

假设我有1个userPool和2个组:group_a和group_b，
用户可以在group_a或group_b中，也可以没有组。

group_a用户可以ListUsers池中的每个用户。
group_b用户可以从group_b中获取ListUsers用户，且不需要组。
没有组的用户不能访问ListUsers.

通过阅读AWS文档，我找不到不管理2个userPool和跨身份池和角色的方法。
是否可以在单个UserPool中完成?

Answer 1

我不相信这是开箱即用的支持。IAM策略没有任何请求条件来检查用户所属的组。此外，list user返回所有用户，如果需要任何过滤，则需要在获取所有用户之后进行过滤。我建议你构建api来处理这个问题，它检查令牌中的组，然后返回组有权查看的用户。