Доступ к директориям пользователя на Amazon S3 с помощью Cognito

В одном из моих проектов возник вопрос: “Как позволить пользователям приложения читать/загружать публичные и личные файлы?”

Нет никаких проблем реализовать подход (пользователь -> веб-сервер/(приложение) -> хранилище (S3) ) - где приложение будет обрабатывать нужные права, но это трата пропускной способности, которой хотелось бы избежать. Было решено использовать подход ( пользователь -> хранилище (S3) ) и при увеличении количества пользователей нам не нужно будет беспокоиться о пропускной способности (веб-сервера). Последний, из двух, подход - позволить пользователям на прямую загружать файлы в хранилище. А єто, в свою очередь, означает что для чтения/записи файлов, мы должны понимать, имеет ли пользователь права прямо на сервисе AWS S3, для этого нам понадобиться AWS Cognito.

Cognito

Мы используем Cognito для создания уникальных сущностей наших пользователей в серде AWS для дальнейшего доступа к S3. Используя Идентификационные данные разработчика мы можем аутентифицировать пользователя нашего приложения с помощью уникального идентификатора и получить токены с которыми мы будем ходить в S3.

Первый фрагмент кода, возвращает сущность текущего пользователя (в AWS) для текущего идентификатора пользователя

1
def getCognitoIdentityAndToken(identifier):
2
    try:
3
        response = cognitoClient.get_open_id_token_for_developer_identity(
4
        IdentityPoolId=MAIN_COGNITO_POOL,
5
        Logins={
6
            COGNITO_PROVIDER_NAME: identifier
7
        },
8
        TokenDuration=TOKEN_EXPIRY
9
        )
10
        #response contains cognito identity for given identifier and a session token
11
        return response
12
    except botocore.exceptions.ClientError as err:
13
        print err
14
        return False
15
    except botocore.exceptions.EndpointConnectionError as err:
16
        print   err
17
        return False

Второй пример кода, используем на стороне клиента для получения учетных данных AWS из идентификатора и токена сеанса.

1
function setCredentials(cogId,token){
2
    AWS.config.region = AWS_REGION;
3
    AWS.config.credentials = new AWS.CognitoIdentityCredentials({
4
       IdentityPoolId: MAIN_COGNITO_POOL,
5
       IdentityId: cogId,
6
       Logins: {
7
          COGNITO_PROVIDER_NAME: token // provider name = cognito-identity.amazonaws.com for developer federated identities
8
       }
9
    });
10
  }

После даных “манипуляций”, получилось отдать учетные данные клиенту (браузер в моем случае). Теперь нужно описать политики использования хранилища S3, что бы предоставить доступ к папке пользователя. Есть два возможных подхода к написанию нужных полити.

Использовать политики на уровне роли Cognito
Политики на уровне S3 Bucket.

Первый подход не масштабируеться, и в принципе, более сложный, так как есть ограничение в 10240 символов. Так что взял второй.

Bucket Policy

На момент написания функционала, было хорошей идеей использовать уникальный идентификатор в пути к папке что значительно упростило написание политики.

1
{
2
    "Version": "2012-10-17",
3
    "Id": "Policy1487688853521",
4
    "Statement": [
5
       {
6
            "Sid": "Stmt1492075309356",
7
            "Effect": "Allow",
8
            "Principal": "*",
9
            "Action": [
10
                "s3:DeleteObject",
11
                "s3:GetObject",
12
                "s3:PutObject"
13
            ],
14
            "Resource": "arn:aws:s3:::BUCKET_NAME/users/${cognito-identity.amazonaws.com:sub}/*"
15
        },
16
        {
17
            "Sid": "Stmt1487688849187",
18
            "Effect": "Allow",
19
            "Principal": "*",
20
            "Action": "s3:GetObject",
21
            "Resource": "arn:aws:s3:::BUCKET_NAME/users/*/public/*"
22
        }
23
    ]
24
}

Первая политика, в секции (Statement), позволяет пользователю получить доступ к своей папке. ${cognito-identity.amazonaws.com:sub} - позволяет иметь доступ для сущеностей Cognito в bucket s3. Вторая политика позволяет читать/писать в папки s3 всем пользователям.

В место заключения

“Ничего нет более постоянного, чем временное”
Через какое-то время полностью перевели систему аутентификации и авторизации в Cognito.

Буду благодарен за любые комментарии :)