Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
# Cose da sapere sull'autenticazione con pool di utenti
Prendi in considerazione le seguenti informazioni nella progettazione del tuo modello di autenticazione con i pool di utenti di Amazon Cognito.
**Flussi di autenticazione nell'accesso gestito e nell'interfaccia utente ospitata**
L'[accesso gestito](cognito-user-pools-managed-login.md) offre più opzioni di autenticazione rispetto alla classica interfaccia utente ospitata. Ad esempio, gli utenti possono eseguire l'autenticazione senza password e con chiave di accesso solo nell'accesso gestito.
**I flussi di autenticazione personalizzati sono disponibili solo nell'autenticazione SDK AWS **
Non puoi eseguire *flussi di autenticazione personalizzati* o [autenticazioni personalizzate con trigger Lambda](user-pool-lambda-challenge.md), con l'accesso gestito o la classica interfaccia utente ospitata. L'autenticazione personalizzata è disponibile nell'[autenticazione con AWS SDK](authentication-flows-selection-sdk.md).
**Accesso gestito per l'accesso con provider di identità esterno (IdP)**
Non puoi far accedere gli utenti tramite l'[autenticazione [di terze parti](cognito-user-pools-identity-federation.md) con IdPs AWS](authentication-flows-selection-sdk.md) gli SDK. È necessario implementare l'accesso gestito o la classica interfaccia utente ospitata, reindirizzare IdPs e quindi elaborare l'oggetto di autenticazione risultante con le librerie OIDC nell'applicazione. Per ulteriori informazioni sull'accesso gestito, vedere. [Accesso gestito dal pool di utenti](cognito-user-pools-managed-login.md)
**Effetto dell'autenticazione senza password su altre funzionalità utente**
L'attivazione dell'accesso senza password con [password o [passkey](amazon-cognito-user-pools-authentication-flow-methods.md#amazon-cognito-user-pools-authentication-flow-methods-passkey) monouso](amazon-cognito-user-pools-authentication-flow-methods.md#amazon-cognito-user-pools-authentication-flow-methods-passwordless) nel pool di utenti e nel client dell'app ha un effetto sulla creazione e sulla migrazione degli utenti. Quando l'accesso senza password è attivo:
1. Gli amministratori possono creare utenti senza password. Il modello di messaggio di invito predefinito viene modificato e non include più il segnaposto per la `{###}` password. Per ulteriori informazioni, consulta [Creazione di account utente come amministratore](how-to-create-user-accounts.md).
1. Per quanto riguarda SDK-based [SignUp](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_SignUp.html)le operazioni, gli utenti non sono tenuti a fornire una password al momento della registrazione. L'accesso gestito e l'interfaccia utente ospitata richiedono una password nella pagina di registrazione, anche se è consentita l'autenticazione senza password. Per ulteriori informazioni, consulta [Registrazione e conferma degli account utente](signing-up-users-in-your-app.md).
1. Gli utenti importati da un file CSV possono accedere immediatamente con opzioni senza password, senza reimpostare la password, se i loro attributi includono un indirizzo e-mail o un numero di telefono per un'opzione di accesso senza password disponibile. Per ulteriori informazioni, consulta [Importazione di utenti nel bacino d'utenza da un file CSV](cognito-user-pools-using-import-tool.md).
1. L'autenticazione senza password non richiama il trigger [Lambda per la migrazione degli utenti](user-pool-lambda-migrate-user.md).
1. Gli utenti che accedono con una password monouso (OTP) non possono aggiungere un fattore di autenticazione a [più fattori (MFA)](user-pool-settings-mfa.md) alla sessione. Le passkey con verifica utente possono soddisfare i requisiti MFA se configurate con. `MULTI_FACTOR_WITH_USER_VERIFICATION`
**Gli URL delle parti che si affidano a Passkey non possono essere presenti nell'elenco pubblico dei suffissi**
Puoi usare nomi di dominio di tua proprietà, ad esempio`www.example.com`, come ID relying party (RP) nella configurazione della tua passkey. Questa configurazione è pensata per supportare applicazioni personalizzate che vengono eseguite su domini di tua proprietà. L'[elenco dei suffissi pubblici](https://publicsuffix.org/), o PSL, contiene domini di alto livello protetti. Amazon Cognito restituisce un errore quando tenti di impostare l'URL RP su un dominio su PSL.
## Durata del flusso della sessione di autenticazione
A seconda delle funzionalità del tuo pool di utenti, puoi rispondere a diverse sfide `RespondToAuthChallenge` prima `InitiateAuth` e prima che l'app recuperi i token da Amazon Cognito. Amazon Cognito include una stringa di sessione nella risposta a ciascuna richiesta. Per combinare le richieste API in un flusso di autenticazione, includere la stringa di sessione della risposta alla richiesta precedente in ogni richiesta successiva. Per impostazione predefinita, gli utenti hanno a disposizione tre minuti per completare ogni verifica prima della scadenza della stringa della sessione. Per modificare questo periodo, modificare il client dell'app **Authentication flow session duration** (Durata della sessione del flusso di autenticazione). La procedura seguente descrive come modificare questa impostazione nella configurazione del client dell'app.
**Nota**
Le impostazioni **Durata della sessione del flusso di autenticazione** si applicano all'autenticazione con l'API dei pool di utenti Amazon Cognito. L'accesso gestito imposta la durata della sessione a 3 minuti per l'autenticazione a più fattori e a 8 minuti per la modifica forzata della password durante il primo accesso dell'utente finale con password temporanea.
------
#### [ Amazon Cognito console ]
**Per configurare la durata della sessione del flusso di autenticazione del client dell'app (Console di gestione AWS)**
1. Nella scheda **App integration** (Integrazione app) del pool di utenti, seleziona il nome del client dell'app nel container **App clients and analytics** (Client di app e analisi dei dati).
1. Scegli **Modifica** nel container **Informazioni sul client dell'app**.
1. Modifica il valore della **durata della sessione del flusso di autenticazione** sulla durata di validità desiderata, in minuti, per i codici MFA SMS ed e-mail. Ciò modifica anche il tempo che ogni utente ha a disposizione per completare qualsiasi richiesta di autenticazione nel client dell'app.
1. Scegli **Save changes** (Salva modifiche).
------
#### [ User pools API ]
**Configurare la durata della sessione del flusso di autenticazione del client dell'app (API Amazon Cognito)**
1. Prepara una richiesta `UpdateUserPoolClient` con le impostazioni di un pool di utenti esistente in base a una richiesta `DescribeUserPoolClient`. La richiesta `UpdateUserPoolClient` deve includere tutte le proprietà client dell'app esistenti.
1. Cambia il valore del parametro `AuthSessionValidity` impostando la durata di validità desiderata, espressa in minuti, per i codici dell'autenticazione MFA con SMS. Ciò modifica anche il tempo che ogni utente ha a disposizione per completare qualsiasi richiesta di autenticazione nel client dell'app.
------
Per ulteriori informazioni sui client di app, consulta [Application-specific impostazioni con i client dell'app](user-pool-settings-client-apps.md).
## Comportamento di blocco in caso di tentativi di accesso non riusciti
Dopo cinque tentativi di accesso falliti con la password di un utente, indipendentemente dal fatto che vengano richiesti con operazioni IAM-authorized API o non autenticate, Amazon Cognito blocca l'utente per un secondo. La durata del blocco quindi raddoppia dopo ogni ulteriore tentativo non riuscito, fino a un massimo di circa 15 minuti.
I tentativi effettuati durante un periodo di blocco generano un'eccezione `Password attempts exceeded` e non influiscono sulla durata dei periodi di blocco successivi. Per un numero cumulativo di tentativi di accesso non riusciti *n*, ad esclusione delle eccezioni `Password attempts exceeded`, Amazon Cognito blocca l'utente per *2^(n-5)* secondi. Per ripristinare lo stato iniziale *n=0* del blocco, l'utente deve effettuare un accesso riuscito dopo la scadenza del periodo di blocco oppure non deve iniziare alcun tentativo di accesso per 15 minuti consecutivi in qualsiasi momento dopo il blocco. Questo comportamento è soggetto a modifiche. Questo comportamento non si applica alle sfide personalizzate a meno che non eseguano anche l'autenticazione basata su password.