AWS 应用身份认证

原名：aws-auth

为 AWS 应用设计用户身份、令牌和服务间认证方案。

中文 Skills 技能说明

适合登录、API 认证或服务身份；先定义主体、信任边界、令牌生命周期和撤销机制，默认拒绝越权请求。AWS 开源技能文本可在中国境内本地使用；实际调用云服务须使用用户自己的合法 AWS 账户和权限，并确认目标服务在 AWS 中国区域或所选区域的可用性、运营主体、网络、备案、费用、数据位置和跨境要求。CEOFans 不提供第三方账号、密钥或网络绕过。执行前读取真实账户、区域、项目和官方资料，输出目标、依据、影响、费用、验证结果与回退方式；没有证据时明确说明未知，不编造配置、数据或成功状态。 创建、修改、部署、发送、迁移、删除或产生费用的操作，必须先展示目标和差异并获得有权限人员确认。 代码、数据库、日志、凭据、客户和企业资料按敏感内容处理，只读取任务所需范围，上传或外发前完成授权、脱敏和最小化。 安全能力仅用于已授权的防御性建设与检查，不执行攻击利用、凭据获取、未授权扫描、安全控制绕过或扩大访问范围。

上游能力依据

上游原始适用说明：Adds user authentication to web and mobile apps with Amazon Cognito (user pools and identity pools) and the AWS Amplify client auth libraries. Covers sign-up/sign-in flows and the login page (Cognito-hosted UI / managed login), MFA, password policies, OAuth 2.0 / OIDC flows (auth-code + PKCE, client credentials), social/SAML federation, tokens (ID/access/refresh, rotation, revocation, storage), Cognito Lambda triggers, identity pools (temp AWS creds), and gating API Gateway (or ALB) routes to signed-in users via Cognito/JWT authorizers. Applies when adding a login or sign-up page, configuring a user pool or app client, choosing user pool vs identity pool, wiring social/SAML, refreshing tokens, requiring sign-in on an API Gateway or ALB, or debugging redirecturi/token/MFA/CORS/federation errors. Does NOT cover Amplify Gen2 backend definitions (defineAuth, npx ampx → aws-amplify), IAM/STS/Identity Center (→ aws-iam), or API Gateway/Lambda resource config beyond the authorizer (→ aws-serverless).

上游 SKILL.md 主要章节（保留原文标题）：

使用边界

先确认授权范围、资产边界和证据来源。输出用于防御性检查与人工决策，不自动执行攻击、绕过或破坏性操作。

作者、翻译与许可证

原作者
Amazon Web Services 与 agent-toolkit-for-aws contributors
中文翻译
CEOFans翻译
许可证
Apache-2.0
上游来源
https://github.com/aws/agent-toolkit-for-aws/tree/8ea26bdf9c8b3719e6b5488709f4efecde5a0d93/skills/core-skills/aws-auth

适用范围

平台：linux、macos、windows；标签：安全与合规、AWS 应用身份认证、AWS

安全提示

基础静态扫描不等于绝对安全。技能可能调用命令、浏览器、云服务或本地文件，请在最小权限环境中使用，高风险操作必须人工确认。

如发现侵权、许可证或安全问题，可在本页前台提交投诉，管理员复核后可立即下架。