¿Cómo puedo configurar Google como proveedor de identidades federado en un grupo de usuarios de Amazon Cognito?

Resolución

Creación de un grupo de usuarios de Amazon Cognito

Crea una nueva aplicación en la consola de Amazon Cognito.

Creación de un proyecto de la consola de API de Google

Inicia sesión en la consola de API de Google con tu cuenta de Google y, a continuación, crea un proyecto de Google Cloud. Para ver los pasos, consulta Inicio de sesión con Google para web en el sitio web de Google Identity y Creación de un proyecto de Google Cloud en el sitio web de Google Workspace.

Configuración de la pantalla de consentimiento de OAuth

Sigue estos pasos:

1. Abre la consola de API de Google.
2. En el panel de navegación, selecciona la pantalla de consentimiento de OAuth.
3. Configura los siguientes campos obligatorios del formulario de consentimiento:
   En Nombre de la aplicación, introduce un nombre.
   En Dominios autorizados, introduce amazoncognito.com.
   Importante: Debes introducir este dominio para usar tu dominio de Amazon Cognito cuando crees un ID de cliente de OAuth.
4. Selecciona Guardar.

Obtención de las credenciales de cliente de OAuth 2.0

Sigue estos pasos:

1. Abre la consola de API de Google.
2. En la página Credenciales, elige Crear credenciales.
3. Elige Id. de cliente de OAuth.
4. En la página Crear id. de cliente de OAuth, en Tipo de aplicación, selecciona Aplicación web.
5. Configura los siguientes ajustes:
   En Nombre, introduce un nombre para tu id. de cliente de OAuth.
   Para conocer los orígenes autorizados de JavaScript, introduce tu dominio de Amazon Cognito (por ejemplo, https://yourDomainPrefix.auth.region.amazoncognito.com).
   Nota: Sustituye yourDomainPrefix por el dominio y la región de tu grupo de usuarios por la región de AWS de tu grupo de usuarios. 
   Para encontrar el prefijo de dominio y la región de tu grupo de usuarios, sigue estos pasos:
   Abre la consola de Amazon Cognito.
   Selecciona Grupos de usuarios en el menú de navegación de la izquierda.
   Elige tu grupo de usuarios.
   En el menú de navegación de la izquierda, selecciona Integración de aplicaciones y ve a la sección Dominio para encontrar el prefijo y la región de tu dominio.
   En URI de redireccionamiento autorizados, introduce https://yourDomainPrefix.auth.region.amazoncognito.com/oauth2/idpresponse.
   Nota: Sustituye yourDomainPrefix y region por los valores de tu grupo de usuarios.
6. En el cuadro de diálogo del cliente OAuth, anota el id. y el secreto del cliente.

Configuración de Google como IdP federado en su grupo de usuarios

Utiliza la consola de Amazon Cognito para configurar tu grupo de usuarios con un IdP social y configurar los siguientes ajustes:

• En Añadir un proveedor de identidad, elige Google.
• En Asignar atributos entre Google y su grupo de usuarios, asigna el atributo de grupo de usuarios email al atributo de Google email.

Cambio de la configuración del cliente de la aplicación para el grupo de usuarios

Nota: En la configuración del cliente de la aplicación, se debe poder escribir en los atributos del grupo de usuarios asignado. Para obtener más información, consulta Asignación de atributos de IdP a perfiles y tokens.

Sigue estos pasos:

1. Abre la consola de Amazon Cognito.
2. Selecciona Grupos de usuarios y, a continuación, elige tu grupo de usuarios.
3. Selecciona la pestaña Integración de aplicaciones.
4. En Lista de clientes de aplicación, selecciona Crear un cliente de aplicación.
5. Configura los siguientes ajustes:
   En Tipo de aplicación, elige Cliente público y, a continuación, introduce un nombre para el cliente de la aplicación.
   En Flujos de autenticación, selecciona ALLOW_USER_PASSWORD_AUTH y ALLOW_REFRESH_TOKEN_AUTH.
   En Direcciones URL de devolución de llamada permitidas, indica la URL a la que quieras redirigir a tus usuarios cuando inicien sesión. Como prueba, introduce una URL válida, como https://www.ejemplo.com/.
   En Direcciones URL de cierre de sesión, introduce la URL a la que quieras redirigir a tus usuarios cuando cierren sesión. Como prueba, introduce una URL válida, como https://www.ejemplo.com/.
   En Proveedores de identidad, selecciona Grupo de usuarios de Cognito y Google.
   En Tipo de concesión de OAuth 2.0, selecciona Concesión implícita.
   En Ámbitos de OpenID Connect, selecciona email, openid y profile.
   Importante: El flujo de OAuth de concesión implícita es únicamente para fines de prueba. Se recomienda utilizar el tipo de concesión de códigos de autorización para los sistemas de producción.
6. Selecciona Crear un cliente de aplicación.

Para obtener más información sobre la configuración del cliente de la aplicación, consulta los términos del cliente de la aplicación.

Creación de la URL del punto de enlace

Para crear la URL de punto de enlace de inicio de sesión para la interfaz de usuario web alojada en Amazon Cognito, usa el formato siguiente:

https://yourDomainPrefix.auth.region.amazoncognito.com/login?response_type=token&client_id=yourClientId&redirect_uri=redirectUrl

Nota: Sustituye yourDomainPrefix por el dominio y la región de tu grupo de usuarios por la región de tu grupo de usuarios. Sustituye yourClientId por el id. de cliente de la aplicación de Amazon Cognito y redirectUrl por la URL de devolución de llamada del cliente de la aplicación.

Para encontrar el prefijo de dominio y la región de tu grupo de usuarios, sigue estos pasos:

1. Abre la consola de Amazon Cognito.
2. Selecciona Grupos de usuarios en el menú de navegación de la izquierda.
3. Selecciona tu grupo de usuarios.
4. En el menú de navegación de la izquierda, selecciona Integración de aplicaciones.
5. Desplázate hasta la sección Dominio para encontrar el prefijo y la región de tu dominio.

Para encontrar los valores de ClientID y redirectUrl, sigue estos pasos:

1. Abre la consola de Amazon Cognito.
2. Selecciona Grupos de usuarios en el menú de la izquierda.
3. Selecciona tu grupo de usuarios.
4. En el menú de navegación de la izquierda, selecciona Integración de aplicaciones.
5. Desplázate hasta Clientes de aplicaciones para encontrar los valores ClientId y redirectUrl.
   Nota: Selecciona el cliente de aplicación para ver sus detalles, incluidas las URL de redireccionamiento configuradas.

Prueba de la URL del punto de enlace

Sigue estos pasos:

1. Introduce la URL del punto de enlace de inicio de sesión en tu navegador web.
2. En la página web de tu punto de enlace de inicio de sesión, selecciona Continuar con Google.
   Nota: Si la página te redirige a la URL de devolución de llamadas del cliente de la aplicación de Amazon Cognito, quiere decir que ya has iniciado sesión en tu cuenta de Google en el navegador. Los tokens del grupo de usuarios aparecen en la URL de la barra de direcciones del navegador web.
3. En Iniciar sesión con Google, selecciona tu cuenta de Google e inicia sesión.

Tras autenticarte, accederás a la URL de devolución de llamadas del cliente de la aplicación de Amazon Cognito. Los tokens web JSON (JWT) emitidos por el grupo de usuarios aparecen en la URL de la barra de direcciones del navegador web.

Información relacionada

Uso de proveedores de identidad social con un grupo de usuarios

Inicio de sesión en grupos de usuarios con proveedores de identidad de terceros

Gestión de las API en la consola de API del sitio web de ayuda de Google