Как правильно обрабатывать неаутентифицированных пользователей и запросы в приложениях AWS Amplify / AppSync React?

Я предполагаю, что вариант использования - предоставить доступ к вашему graphql api пользователям unauth и auth, дав им разные разрешения (например, пользователи auth могут выполнять мутации, а пользователи unauth - только некоторые запросы). Если это так, вам нужно настроить AWS IAM в качестве типа аутентификации в API AppSync, вам также понадобится Amazon Cognito IdentityPool с доступом unauth и auth и настройте для них роли IAM в соответствии с вашими требованиями.

Вы можете найти более подробный ответ здесь

1. Обязательно обновите параметры проверки подлинности, чтобы разрешить доступ как с проверкой подлинности, так и без проверки подлинности, запустив amplify update auth и настроив параметры вручную.

2. В запросе API теперь можно указать режим авторизации:

const createdTodo = await API.graphql({
  query: queries.createTodo,
  variables: {input: todoDetails},
  authMode: 'AWS_IAM'
});

Вот более подробные документы

Эти шаги устарели, но все еще работают:

Выполнив следующие действия, вы можете разрешить как аутентифицированный, так и неаутентифицированный доступ к вашему AWS AppSync API:

1. Создать проект Amplify

amplify init

1. Добавьте аутентификацию с настраиваемой конфигурацией безопасности:

amplify add auth

Do you want to use the default authentication and security configuration? NO

Select the authentication/authorization services that you want to use: (Use arrow keys) User Sign-Up, Sign-In, connected with AWS IAM controls (Enables per-user Storage features for images or other content, Analytics, and more)

Please provide a friendly name for your resource that will be used to label this category in the project: YOURAPINAME

Please enter a name for your identity pool. YOURIDPOOLNAME

Allow unauthenticated logins? (Provides scoped down permissions that you can control via AWS IAM) Yes

Choose defaults for the rest of the questions

3. Добавьте api

amplify add api

Choose Amazon Cognito User Pool as the authorization type.

4. Создать API

amplify push

5. В настройках панели управления AppSync API измените тип аутентификации на AWS Identity and Access Management (IAM)

6. В aws.exports.js в клиентском приложении замените aws_appsync_authenticationType на AWS_IAM

7. На панели управления Cognito нажмите «Управление пулами идентификаторов» и щелкните свой пул идентификаторов.

8. Нажмите «Изменить пул удостоверений», чтобы увидеть свои «Неаутентифицированную роль» и «Аутентифицированную роль».

9. Откройте консоль IAM и найдите «Неаутентифицированную роль» из шага 8.

10. Нажмите «Добавить встроенную политику».

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "appsync:GraphQL"
            ],
            "Resource": [
                "arn:aws:appsync:<REGION>:<ACCOUNTID>:apis/<APIID>/types/Mutation/fields/listTodos"
            ]
        }
    ]
}

11. Откройте консоль IAM и найдите «Роль, прошедшую проверку подлинности» из шага 8.

12. Нажмите «Добавить встроенную политику».

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "appsync:GraphQL"
            ],
            "Resource": [
                "arn:aws:appsync:<REGION>:<ACCOUNTID>:apis/<APIID>/types/Mutation/fields/listTodos",
                "arn:aws:appsync:<REGION>:<ACCOUNTID>:apis/<APIID>/types/Mutation/fields/createTodo"
            ]
        }
    ]
}

13. В index.js добавьте этот код:

import { Auth } from 'aws-amplify'
Auth.currentCredentials()
  .then(d => console.info('data: ', d))
  .catch(e => console.info('error: ', e))

14. Теперь вы должны иметь возможность выполнять запросы при выходе из системы, а также запрашивать и создавать мутации при входе в систему.

Небольшая дополнительная помощь всем, кто страдает от несанкционированного доступа (ваша проблема с AppSync) или 401 (ваша проблема с настройкой роли IAM / Unauth).

У нас есть COGNITO POOLS в качестве авторизатора по умолчанию. Чтобы использовать AWS_IAM, вам нужно пойти и добавить его в AppSync, а затем настроить роль UNAUTH для пула идентификаторов (как это хорошо описано выше). Но есть последний подводный камень -

Добавьте директивы @aws_iam в запрос / мутацию / модель, которые участвуют в анонимной транзакции, это должно перестать усиливать возвращение несанкционированной ошибки, однако вы вполне можете увидеть больше ошибок, возвращаемых, если вы также не разрешили поля объектов с помощью директивы .

Надеюсь это поможет. Проверьте документацию здесь, чтобы узнать правильные директивы для вашей установки.

https://aws.amazon.com/blogs/mobile/using-multiple-authorization-types-with-aws-appsync-graphql-apis/