Obtention de l'erreur "CustomRoleARN: xxxxxx n'est pas supposé pour ce jeton" lors de la réaffectation d'un rôle à un utilisateur fédéré

Question

Je tente d'effectuer les opérations suivantes: i) Valide un utilisateur via Cognito Federated Identity (mappé à CognitoPool) . Un rôle R1 est attribué dans le cadre de ce processus. ii) A vouloir assigner un nouveau rôle R2 à ce jeton. Tout en attribuant le rôle R2, je reçois l'erreur suivante: « CustomRoleARN: arn: aws: iam :: 123456789012: rôle/R2 n'est pas assumable pour ce jeton »

Je dois aller dans cette voie, parce que je pourrais avoir à créer R2 runtime en fonction de certaines conditions.

R2 relation de confiance:

{ 
    "Version": "2012-10-17", 
    "Statement": [ 
    { 
     "Sid": "", 
     "Effect": "Allow", 
     "Principal": { 
     "AWS": "arn:aws:iam::123456789012:role/R1" 
     }, 
     "Action": "sts:AssumeRole" 
    } 
    ] 
} 

Politique Attach R1 (non relation de confiance):

{ 
    "Version": "2012-10-17", 
    "Statement": [ 
     { 
      "Action": [ 
       "s3:ListBucket" 
      ], 
      "Effect": "Allow", 
      "Resource": [ 
       "arn:aws:s3:::bucket1" 
      ] 
     }, 
     { 
      "Action": [ 
       "s3:*" 
      ], 
      "Effect": "Allow", 
      "Resource": [ 
       "arn:aws:s3:::bucket1/*" 
      ] 
     }, 
     { 
      "Effect":"Allow", 
      "Action":"sts:AssumeRole", 
      "Resource":"*" 
     } 
    ] 
} 

S'il vous plaît laissez-moi savoir ce que je suis absent.

Merci d'avance pour la recherche.

Answer 1

J'ai eu un cerveau mort. On devrait appeler sts.GetFederationToken() dans un tel scénario. Mon exigence était d'assigner une politique différente à l'utilisateur fédéré déjà vérifié.

J'essayais d'appeler cognito.getCredentialsForIdentity() sur un utilisateur déjà vérifié. Je mélangeais 2 solutions. Voilà pourquoi je recevais l'erreur

Merci