Question

我需要Amazon cognito使用的公钥证书，以便我的Web应用程序可以验证cognito JWT。无论如何，有没有要获得公钥证书？还是必须使用cognito SDK来实现这一目标？

Answer 1

没有可用的直接选项，但是您可以在openSSL中进行解决，

生成私钥，并使用可用的私钥生成证书签名请求（CSR）。两者都可以在一行中完成

openssl req -new -newkey rsa:2048 -nodes -keyout PrivateKey_FileName.key -out CSR_FileName.csr

以.pem格式保存cognito中的公钥。您可以使用在线工具https://8gwifi.org/jwkconvertfunctions.jsp将jwk转换为.pem。
使用生成的私钥对CSR进行自签名，并强制CA包含以.pem格式保存的自定义公钥，以使用以下方式创建证书，以替换生成CSR请求时可用的任何公钥命令。

openssl x509 -req -days 1200 -in CSR_FileName.csr -force_pubkey cognito_publicKeyFileName.pem -signkey PrivateKey_FileName.key -out export_certificate_FileName.crt

Boom ..您已使用cognito的公钥创建了x509证书

Answer 2

Cognito JWK上没有证书链。您可以在此处找到您的Cognito的公开JWK：

https://cognito-idp.{region}.amazonaws.com/{userPoolId}/.well-known/jwks.json

您可以使用https://www.npmjs.com/package/jwk-to-pem之类的库将JWK解码为PEM公钥格式。

var jwkToPem = require('jwk-to-pem');

var jwk = JWK_FROM_URL,
    pem = jwkToPem(jwk);

或者您可以使用类似https://github.com/cisco/node-jose

的方式进行完整的验证

jose.JWK.asKey(keys[key_index])
  .then(result => jose.JWS.createVerify(result).verify)
  .then(result => JSON.parse(result.payload))

这里https://aws.amazon.com/premiumsupport/knowledge-center/decode-verify-cognito-json-token/有详细的Cognito JWT解码指南，下面是https://github.com/awslabs/aws-support-tools/blob/master/Cognito/decode-verify-jwt/decode-verify-jwt.js

在Cognito JWT上使用jose的示例。

Answer 3

使用 AWS CLI 通过此处记录的 CLI 调用获取 Cognito 的公共 x509 证书的内容：https://awscli.amazonaws.com/v2/documentation/api/latest/reference/cognito-idp/get-signing-certificate.html。下面打印了一个示例输出。
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在这些内容前面加上 -----BEGIN CERTIFICATE----- 并附加 -----END CERTIFICATE-----。最终结果将如下所示：

将这些内容保存到 file: Cognito.crt。此文件包含 Cognito 的已签名 x509 公共证书。

AWS Cognito公钥证书

3 个答案: