Могу ли я указать политику aws на основе определенного поля Cognito?

Question

Могу ли я применить политику (например, к таблице AWS DynamoDB), но ограничить ее на основе определенного поля пользователя Cognito (кроме идентификатора Cognito)?

Что я пытаюсь реализовать: у меня есть несколько пользователей Cognito, принадлежащих к одной определенной группе. Каждая группа может иметь несколько пользователей. Есть много групп> 1000.

1. Каждая группа должна иметь права на чтение / запись строк в таблице DynamoDB, которая принадлежит группе (для этого в таблице есть поле GroupName).
2. Каждый пользователь должен иметь те же разрешения, что и группа, к которой он принадлежит.

Я хотел бы проверить в файле политики, что MyCognitoUser.GroupName равно row.GroupName

Answer 1

Если вы используете Amazon Cognito User Pools, то вы можете использовать недавно запущенную функциональность групп для назначения ролей на основе пользовательских групп (вам не нужно хранить это поле в DynamoDB, вместо этого оно является частью профиля пользователя).