Amazon Cognito
Identidades, autenticação e MFA.
Visão técnica · POC 01
Login
Unificado
Arquitetura proposta
Uma camada central de identidade para todas as aplicações.
O Amazon Cognito autentica as pessoas e emite tokens. O Amazon API Gateway valida o acesso às APIs; funções Lambda complementam a jornada, enquanto as bases guardam perfis, sessões e auditoria.
Fluxo da solução
- AplicaçãoInicia o acesso único
- Amazon CognitoAutentica e aplica MFA
- API GatewayValida o token
- Lambda + dadosEnriquece perfil e registra auditoria
Mapa interativo
Quer acompanhar o caminho completo do acesso?
Fluxograma completo
Da entrada à autorização, incluindo MFA, regras e auditoria.
Em telas menores, arraste o diagrama para acompanhar todo o fluxo.
flowchart TD
START([Usuário acessa aplicação]) --> REDIRECT[Cognito Hosted UI]
REDIRECT --> LOGIN_TYPE{Tipo de login?}
LOGIN_TYPE -->|Email/Senha| VALIDATE[Valida credenciais no User Pool]
LOGIN_TYPE -->|Social| IDP[Google ou Apple]
VALIDATE --> VALID{Credenciais corretas?}
VALID -->|Não| ERROR1[Erro de autenticação]
ERROR1 --> REDIRECT
VALID -->|Sim| MFA_CHECK{MFA habilitado?}
IDP --> MFA_CHECK
MFA_CHECK -->|Não| LAMBDA_PRE
MFA_CHECK -->|Sim| SEND_MFA[Envia código SMS ou TOTP]
SEND_MFA --> VALIDATE_MFA{Código correto?}
VALIDATE_MFA -->|Não| ERROR2[Código inválido]
ERROR2 --> SEND_MFA
VALIDATE_MFA -->|Sim| LAMBDA_PRE[Lambda Pre-Auth verifica regras]
LAMBDA_PRE --> ALLOW{Autorizar?}
ALLOW -->|Não| DENY[Acesso negado e auditado]
ALLOW -->|Sim| TOKEN[Gera tokens JWT]
TOKEN --> LAMBDA_POST[Lambda Post-Auth registra auditoria]
LAMBDA_POST --> SAVE_SESSION[Salva sessão no DynamoDB]
SAVE_SESSION --> REDIRECT_APP[Redireciona para aplicação]
REDIRECT_APP --> APP[API Gateway valida token]
APP --> AUTHORIZED([Acesso liberado])
DENY --> END_DENY([Acesso bloqueado])
O diagrama não pôde ser carregado. O fluxo técnico detalhado abaixo preserva as etapas essenciais.
Tecnologias e papéis
Amazon API Gateway
Entrada protegida para as aplicações.
AWS Lambda
Gatilhos antes e depois da autenticação.
Amazon Aurora PostgreSQL
Dados estendidos dos perfis.
Amazon DynamoDB
Sessões ativas e expiração automática.
Amazon CloudWatch
Logs, métricas e sinais de anomalia.
Amazon SNS
Mensagens para autenticação multifator.
Amazon S3
Retenção dos registros de auditoria.
Arquitetura em camadas
Identidade, autorização, aplicações e dados trabalham como uma cadeia única.
Identidade
Amazon Cognito centraliza usuários, grupos, atributos, políticas e provedores sociais.
Protocolos
OAuth 2.0 e OpenID Connect atendem aplicações modernas; SAML 2.0 cobre integrações corporativas.
Autorização
API Gateway e Lambda Authorizer validam Tokens JWT, enriquecem contexto e aplicam Rate limiting.
Persistência
Aurora guarda perfis, DynamoDB mantém sessões com TTL e S3 retém auditoria.
Fluxo técnico detalhado
- EntradaA aplicação inicia a interface hospedada ou customizada.
- IdentificaçãoO User Pool valida credenciais ou delega ao provedor social.
- MFAMFA por SMS ou TOTP é aplicado conforme perfil e política.
- DecisãoTriggers Lambda verificam regras e auditam recusas.
- EmissãoAccess, ID e refresh tokens recebem expiração controlada.
- ConsumoAPI Gateway entrega apenas o contexto autorizado.
Controles técnicos
Segurança e governança
MFA para perfis críticos, menor privilégio, políticas de senha e trilha de tentativas.
Operação e falhas
Falhas retornam ao passo seguro; CloudWatch monitora erro, latência e anomalias.
Dados e persistência
Identidade, perfil e sessão ficam separados; TTL remove sessões expiradas.
Dependências e integrações
Aplicações devem aderir ao protocolo, validar claims e desativar cadastros locais gradualmente.
Premissas da estimativa
- 16.900 usuários ativos
- 1,5 milhão de autenticações por mês
- 400 mensagens mensais para MFA
Faixa indicativa 2026USD 450–700/mêsVaria conforme região, MFA, banco de dados, tráfego e retenção.
Indicadores propostos
Faixa de planejamento atualizada em 2026 a partir das premissas da fonte. Recalcular no AWS Pricing Calculator com região, configuração e consumo aprovados; não representa cotação, SLA ou compromisso comercial.